在最近的一次评估中，我测试了一个Ruby on Rails应用程序，该应用程序容易受到三种最常见的Ruby特定远程代码执行（RCE）漏洞的攻击。Brakeman通常会检测到所有这些漏洞，但我总是喜欢包含有效的漏洞利用代码，以便为客户提供展示给定问题严重性的直观示例。我···...

研究人员在PayPal中发现一个未修复的安全漏洞，攻击者利用该漏洞可窃取用户资金。安全研究人员h4x0r_dz在PayPal转账服务"www.paypal[.]com/agreements/approve"中发现了一个安全漏洞，攻击者利用该漏洞只需要点击一次就可以诱使用户完成攻击者控制的···...

谷歌Java OAuth客户端库存在高危漏洞，攻击者可使用被黑的token部署恶意payload。漏洞概述谷歌OAuth Client Library for Java（Java OAuth客户端库）的设计目的是用来与web上的任意OAuth协作，而不仅仅是谷歌API。该库基于谷歌Java HTTP客户端库构建，支持Jav···...

我们不知道自己的盲点，这是困扰安全团队的典型问题，也是0 day漏洞能够掀起轩然大波的关键原因。0 day漏洞是威胁行为者的“利器”，创造了宕机和恐慌的完美“风暴”。作为攻击一方“抛出”的意外因素，0 day漏洞可谓是一种令人望而生畏的存在，安全团队时常会···...

研究人员在C标准库的DNS组件中发现一个安全漏洞，利用该漏洞可以对DNS进行投毒攻击，影响数百万嵌入式和IoT设备。uClibc库和uClibc-ng库是两个标准的C语言库，可以提供扩展的DNS客户端接口，允许应用程序即时执行lookup和其他DNS相关的查询。被Netgear、Axis、···...

微软研究人员发现Linux系统多个安全漏洞——Nimbuspwn。微软研究人员在Linux系统中发现多个安全漏洞——Nimbuspwn，攻击者利用这些漏洞可以在Linux系统上实现权限提升，获得root权限，并成功部署后门、勒索软件等恶意软件。Nimbuspwn是networkd-dispatcher组件···...

Pentera Labs 的高级安全研究员 Yuval Lazar 发现了一个信息泄露漏洞，该漏洞影响了超过 50万台运行默认 vCenter Server 部署的设备。考虑到其潜在的全球影响，这一发现至关重要。根据VMware的数据，超过 80% 的虚拟工作负载运行在VMware技术上，包括财富500强···...

微软已经在其2022年4月的月度计划更新中发布了128个安全漏洞的补丁，这其中有10个被评为高危（包括三个不需要用户互动就能利用的可蠕虫式代码执行漏洞）。还有两个被评为高危的0 day漏洞，这些漏洞允许攻击者本地提权，其中还有一个可被主动利用的漏洞。这些漏···...

研究人员公开CVE-2022-21449漏洞PoC代码。研究人员发现最新发布的Java发行版中ECDSA签名算法实现中存在安全问题，漏洞CVE编号CVE-2022-21449，CVSS评分7.5分。该漏洞存在于Java的ECDSA签名算法的实现中，ECDSA算法是对消息进行签名和验证内容的真实性和完整性···...

研究人员在微软Defender Antivirus上发现一个安全漏洞，可绕过反病毒扫描。微软近日修复了微软Defender Antivirus上的一个安全漏洞，攻击者利用该漏洞可以在不触发Defender恶意软件引擎的情况下植入和执行恶意payload。最新的Windows 10系统版本也受到该漏洞的···...