Cybersecurity information flow

介绍了CrushFTP的一个关键漏洞CVE-2023-43177，该漏洞可能允许未经身份验证的攻击者在本地文件系统中写入文件，并且在某些版本中甚至可能允许执行任意系统命令。

1.我艹这地道规模真不小；2.看起来加沙已经被腾空了，然后被炸成了一个筛子……

Topic: WhatACart 2.0.7 Cross Site Scripting Risk: Low Text:# Exploit Title: WhatACart Version: 2.0.7 - Reflected XSS # Date: 2023-12-27 # Exploit Author: tmrswrr # Category : Webapps ...

" 主题：WhatACart 2.0.7跨站脚本风险：低\n\n文本：# 漏洞名称：WhatACart版本：2.0.7 - 反射XSS\n# 日期：2023-12-27\n# 漏洞作者：tmrswrr\n# 类别：Web应用...\n\n翻译：\n主题：WhatACart 2.0.7跨站脚本风险：低\n\n内容：# 漏洞名称：WhatACart 2.0.7反射XSS漏洞\n# 日期：2023年12月27日\n# 漏洞作者：tmrswrr\n# 类别：Web应用..."

[GitHub]XSS
" [GitHub] XSS（跨站脚本攻击）"

JCE - JSP/JPSX CodeEncode - 用于 Webshell 逃避静态查杀的辅助脚本

一、威胁通告 1.Apache Struts远程代码执行漏洞S2-066（CVE-2023-50164）通告
Read More

By Oded Vanunu, Dikla Barda, Roman Zaikin Unmasking Deceptive Tactics: A recent investigation by Check Point Research exposes a troubling trend in the cryptocurrency landscape. Deceptive actors are manipulating pool liquidity, sending token prices soaring by a shocking 22,000%. $80,000 Heist Unveiled: The manipulation of pool liquidity resulted in a swift and calculated theft of $80,000 from […]
The post Crypto Deception Unveiled: Check Point Research Reports Manipulation of Pool Liquidity Skyrockets Token Price by 22,000%. appeared first on Check Point Research.

[GitHub]nuclei templates CVE RCE CNVD IoT

毒液爬行器：专为捡洞而生的爬虫神器

Path traversal in file upload functionality in `/main/webservices/additional_webservices.php` in Chamilo LMS <= v1.11.20 allows unauthenticated attackers to perform stored cross-site scripting attacks and obtain remote code execution via arbitrary file write.

图形化漏洞利用Demo-JavaFX版

前言
今晚，我一鼓作气画完了论文的概览图片，邀请实验室诸位同袍师兄来评价。大家直言不讳，指出了不少缺陷，给出了很多修改建议，还展示了一些优秀的概览图。我把大家的建议总结在《读博小悟》中，还冒出了一个想法——有意识地收集那些自己或朋友认可的概览图，学习它们的长处，分析它们的不足，以期有所长进，于是便有了这篇文章。这是一篇长期更新的博文，我会持续收集一些不错的概览图在这里。你如果有好的图片，或者对分享的概览图有意见和建议，请留言交流。
一图胜千言。但如果图画得乱七八糟，徒增论文阅读难度，挑战读者的专注力和耐力，还不如千言。
下面，我们将概览图按照研究类型和方法进行归纳梳理。相似类型和方法的研究，其概览图往往也具有一定的相似性，能够更好地启发我们。
AI for Security
Shadewatcher (SP'22)
Link: https://jun-zeng.github.io/file/shadewatcher_paper.pdf
AttacKG (ESORICS'22)
Link: https://users.cs.northwestern.edu/~ychen/Papers/ESORICS_AttacKG.pdf
Secure System Design
OmniLog (Security'23)
Link: https://www.usenix.org/system/files/usenixsecurity23-gandhi.pdf
PET (Security'23)
Link: https://www.usenix.org/system/files/usenixsecurity23-wang-zicheng.pdf

Linux eBPF backdoor over TCP. Spawn reverse shells, RCE, on prior privileged access. Less Honkin, More Tonkin.

Microsoft推出了一项针对Microsoft Defender安全平台的新漏洞赏金计划，奖励在500美元至20,000美元之间。

Let's Plunge Further: Steering through the Twists and Turns of the Invisible Web and Shadow Web Think of the internet as an unbounded digital cosmos; our daily interaction only grazes the surface. Dwelling beneath tiers of commonly visited websites is a complex maze of data, christened the "Invisible Web" and the "Shadow Web." This discourse [...]
The post DEEP WEB VS DARK WEB appeared first on Wallarm.

Red Hat Security Advisory 2023-6885-01 - An update for python is now available for Red Hat Enterprise Linux 7. Issues addressed include a bypass vulnerability.

Insecure temporary file creation in bitrix/modules/crm/lib/order/import/instagram.php in Bitrix24 22.0.300 hosted on Apache HTTP Server allows remote authenticated attackers to execute arbitrary code via uploading a crafted ".htaccess" file.
[GitHub]Bitrix24 Remote Command Execution (RCE) via Insecure Temporary File Creation

本周发生的勒索软件攻击已使德国西部多个城市和地区的地方政府服务陷入瘫痪。周一早些时候，一个未知的黑客组织对当地市政服务提供商Südwestfalen IT的服务器进行了加密。为了防止恶意软件传播，该公司限制了70多个城市的基础设施访问，主要是在德国西部的北莱茵-威斯特法伦州。 该公司在一个临时网站上发布的声明中表示，此次袭击使当地政府服务“受到严重限制”，因为事件发生后，其主网站无法访问。 该地区几乎所有的市政厅都受到了黑客攻击的影响。 袭击发生当天，德国城市锡根的行政部门取消了与公民的预约，因为其大部分IT系统都被关闭了。截至周二，政府的大部分在线服务仍然无法使用。Wermelskirchen和Burscheid市政府的网站也在周三关闭。Wermelskirchen的一位女发言人告诉德国媒体：“由于中断，我们无法访问通过Südwestfalen IT运行的所有应用程序。”。这影响了该市的财政、居民、墓地和登记处。  政府在公开讨论此次袭击的影响时表示，尽管在线系统已经关闭，但他们仍在为公民提供面对面的服务。政府的内部和外部沟通，包括电子邮件和电话服务，大多是无效的。德国警方和网络安全机构正在调查此次黑客攻击，并努力恢复城市管理部门的服务。 Burscheid的一位发言人说：“但我们不能告诉我们的客户任何具体的事情，这给人们带来了很大的压力。” 德国网络安全专家表示，攻击的时间特别敏感，因为地方政府通常在月底进行金融交易。专家表示，此次袭击可能会阻碍工资、社会援助和护理基金转账等支付。 德国联邦信息安全办公室（BSI）表示，它知道这起全事件，并正在与受影响的服务提供商联系。然而，由于调查仍在进行中，它无法对进一步的细节发表评论。 参与调查的德国检察官告诉当地媒体，他们目前正在努力确定损失的程度，哪些服务受到影响，以及谁应对袭击负责。他们预计将进行“复杂而漫长的调查”。 转自E安全，原文链接：https://mp.weixin.qq.com/s/GB3s2e4eVwHqVguP6a01Vw 封面来源于网络，如有侵权请联系删除

通过简单的GraphQL Introspection查询，发现了一个价值1000美元的漏洞。了解如何绕过密码保护获取恢复代码，并了解MFA安全和潜在漏洞