目标: 1000 元 · 已筹: 1359 元
精选漏洞公告、利用分析、安全博客、GHSA Advisory 等情报来源，已自动清洗 + 中英双语呈现，持续更新。
### 漏洞概述 - **漏洞标题**：跨厂商产品关系注入（缺少相关、交叉销售和关联添加处理程序中的父产品厂商检查） - **漏洞编号**：#8417 - **报告者**：theuperguante - **报告时间**：10天前 - **漏洞描述**：在 `nospolations/nopCommerce` 项目中发现了一个安全漏洞，涉及跨厂商产品关系注入问题。具体表现为在相关、交叉销售和关联添…
### 漏洞概述 **漏洞标题**: [Vulnerability Report] Authenticated Language Package Upload Allows Server Side PHP Code Execution in Xerte Online Tools #1557 **漏洞描述**: 认证用户可以利用 `system` 命令上传包含 PHP 代码的语言包 ZIP 文件，从…
# 漏洞总结：Growth 平台 ID 配对导致未授权访问 ## 漏洞概述 在 Growth 平台中，用户可以通过将修订版 ID 与可访问页面 ID 配对，读取本无权查看的页面修订版正文或评论。该漏洞允许攻击者绕过权限控制，通过遍历或猜测 ID 组合来访问敏感内容。 - **漏洞类型**：越权访问（IDOR） - **影响组件**： - `GET /api/page/{page_id}/revis…
# GROWI 路径遍历漏洞 (JVN#512223238) ## 漏洞概述 GROWI 存在路径遍历漏洞。攻击者可通过构造恶意请求，利用该漏洞读取服务器上的任意文件。 ## 影响范围 - **受影响产品**：GROWI - **受影响版本**： - 2024年1月24日发布的版本（v1.22.0） - 2024年1月24日发布的版本（v1.22.1） - 2024年1月24日发布的版本（v1.2…
# CVE-2020-10522B 漏洞总结 ## 漏洞概述 GROWI 存在多个可组合的漏洞，允许攻击者在无需认证的情况下读取或修改页面内容。主要漏洞包括： - **CVE-2020-10522**：通过未认证的登录页面和评论功能进行授权绕过。 - **CVE-2020-10508**：通过未认证的登录页面和分页功能进行授权绕过。 - **CVE-2020-10524**：协作编辑功能中的认证绕…
# 漏洞总结 ## 漏洞概述 - **漏洞编号**: CVE-2024-3837 - **漏洞类型**: 远程代码执行（RCE） - **受影响组件**: `libxml2` 库中的 `xmlParseDocument` 函数 - **漏洞描述**: 在处理特定构造的XML文档时，由于未正确验证输入数据，导致攻击者可以触发堆溢出，从而执行任意代码。 ## 影响范围 - **受影响版本**: `li…
根据提供的网页截图，以下是关于漏洞的关键信息总结： ### 漏洞概述 - **漏洞描述**：在 v0.28.0 版本中，修复了多个安全漏洞。 - 修复了 `k8s.io/client-go` 中的漏洞（CVE-2023-39309）。 - 修复了 `k8s.io/apimachinery` 中的漏洞（CVE-2023-39310）。 - 修复了 `k8s.io/api` 中的漏洞（CVE-2023…
### 漏洞概述 - **漏洞名称**: CVE-2024-38378 - **漏洞类型**: 远程代码执行（RCE） - **受影响产品**: Apache OpenNLP - **漏洞描述**: Apache OpenNLP 1.9.4 及更早版本中存在一个漏洞，允许攻击者通过构造恶意输入触发远程代码执行。该漏洞源于对未验证的用户输入处理不当，导致攻击者可以在服务器上执行任意代码。 ### 影…
### 漏洞概述 该截图展示了一个名为 `CVE-2021-44228` 的漏洞，即 **Log4Shell** 漏洞。这是一个影响广泛且严重的远程代码执行（RCE）漏洞，存在于 Apache Log4j 日志库中。攻击者可以通过构造特殊的日志消息，利用 JNDI（Java Naming and Directory Interface）功能，在目标服务器上执行任意代码。 ### 影响范围 - **…
### 漏洞概述 - **漏洞编号**: CVE-2024-3993 - **漏洞类型**: 拒绝服务（DoS）漏洞 - **受影响组件**: `libxslt` 库中的 `xsltCompile` 函数 - **漏洞描述**: 在处理包含特定构造的 XSLT 样式表时，`libxslt` 库中的 `xsltCompile` 函数存在一个拒绝服务漏洞。攻击者可以通过构造恶意 XSLT 样式表，导致…
### 漏洞概述 该漏洞涉及 **Apache Commons Collections** 库中的反序列化安全问题，具体为 **CVE-2015-7501**。攻击者可以通过构造恶意序列化数据，在反序列化过程中触发任意代码执行。该漏洞利用了 `InvokerTransformer`、`BeanComparator` 和 `PriorityQueue` 等类的组合，通过反射机制调用任意方法。 ---…
### 漏洞概述 LibreSSL 是一个开源的 SSL/TLS 库，是 OpenSSL 的一个分支。在 LibreSSL 3.5.0 版本中，存在一个严重的漏洞（CVE-2024-0727），该漏洞允许攻击者通过构造特定的 TLS 握手请求，导致服务器崩溃或拒绝服务。 ### 影响范围 - **受影响版本**：LibreSSL 3.5.0 - **受影响系统**：所有使用 LibreSSL 3.…
### 漏洞概述 该漏洞涉及一个名为 `vuln` 的函数，该函数在处理用户输入时存在缓冲区溢出问题。具体来说，当用户输入的数据长度超过预期时，会导致程序崩溃或执行恶意代码。 ### 影响范围 - **受影响版本**: 所有使用 `vuln` 函数的版本。 - **受影响系统**: 所有运行该函数的系统。 ### 修复方案 1. **输入验证**: 在调用 `vuln` 函数之前，对用户输入进行严…
### 漏洞概述 - **漏洞编号**: [BUG] 19 stack traces disclosed to enmrrer subscribers via dispatchExpressionError - **漏洞类型**: 信息泄露 - **严重程度**: 中等 - **描述**: 在特定条件下，通过 `dispatchExpressionError` 方法，19个堆栈跟踪信息被泄露给订阅…
### 漏洞概述 - **漏洞类型**: 有符号整数溢出（Signed Integer Overflow） - **提交者**: harvark - **提交时间**: 13小时前 - **相关标签**: `#10197` ### 影响范围 - **受影响文件**: `lib/strtostr/strtostr-integer-overflow.c` - **受影响函数**: `strtostr_…
### 漏洞概述 - **漏洞编号**: CVE-2024-45867 - **漏洞类型**: 拒绝服务（DoS）漏洞 - **漏洞描述**: 在 `libxml2` 的 `xmlSAX2User` 函数中，由于未正确验证 `xmlSAX2User` 的 `startElement` 回调函数返回的值，导致在处理恶意构造的 XML 文档时可能引发拒绝服务攻击。 ### 影响范围 - **受影响组件…
### 漏洞概述 - **漏洞类型**: 代码注入漏洞（Code Injection） - **漏洞描述**: 在 `oscpcheck.c` 文件中，存在一个潜在的安全问题，即未对 `oscp_request` 中的 `header` 字段进行充分的字符验证。这可能导致攻击者通过构造特定的请求头来注入恶意代码。 ### 影响范围 - **受影响文件**: `oscpcheck.c` - **受影…
### 漏洞概述 - **漏洞名称**: CVE-2024-38378 - **漏洞类型**: 远程代码执行（RCE） - **受影响组件**: Apache Tomcat - **漏洞描述**: 在Apache Tomcat的`org.apache.catalina.core.StandardContext`类中，存在一个远程代码执行漏洞。攻击者可以通过构造特定的HTTP请求，利用该漏洞在服务器…
### 漏洞概述 该漏洞涉及WordPress插件“WP-PageNavi”在版本4.9.0之前存在SQL注入漏洞。攻击者可以通过构造特定的URL请求，利用该漏洞执行任意SQL命令，从而可能获取敏感数据或控制数据库。 ### 影响范围 - **插件名称**: WP-PageNavi - **受影响版本**: 4.9.0 之前的所有版本 - **影响组件**: 插件中的分页功能 ### 修复方案 -…
### 漏洞概述 - **漏洞编号**: CVE-2023-39906 - **漏洞类型**: 远程代码执行（RCE） - **漏洞描述**: 该漏洞存在于某些版本的WordPress插件中，允许攻击者通过构造特定的请求，在目标服务器上执行任意代码。 ### 影响范围 - **受影响产品**: WordPress插件 - **受影响版本**: 特定版本（具体版本需查看官方公告） - **影响范围*…
每篇文章经过自动 HTML→Markdown 清洗 + LLM 去噪 + 中英双语翻译。原始链接保留在文章末尾。
想看哪个安全博客 / 公告源？邮件告诉我们，每周新接 1-2 个。