关于WordPress Forminator插件文件上传漏洞（CVE-2024-28890）的安全预警
关于WordPress Forminator插件文件上传漏洞（CVE-2024-28890）的安全预警一、 基本情况Forminator是一款易于使用的WordPress表单构建器插件，该插件的活跃安装量超过500,000。二、 漏洞描述Forminator插件中存在一个文件上传漏洞（CVE-2024-28890），其CVSS评分为9.8。由于Forminator 1.29.0 之前的版本在文件上传过程中文件验证不充分，可能导致远程威胁者在使用该插件的网站上上传恶意文件，从而可能获取敏感信息、破坏站点并...
关于Cisco IMC命令注入漏洞（CVE-2024-20356）的安全预警
关于Cisco IMC命令注入漏洞（CVE-2024-20356）的安全预警一、 基本情况Cisco Integrated Management Controller（简称IMC）是一种底板管理控制器，用于通过多个接口管理 UCS C系列机架和UCS S系列存储服务器，包括 XML API、Web (WebUI) 和命令行 (CLI) 接口。二、 漏洞描述Cisco IMC命令注入漏洞（CVE-2024-20356，CVSS评分8.7）的PoC/EXP在互联网上公开。由于对用户提供的输入验证不足，思科集成管理控制器 (IMC) 基于Web的管...
关于Cisco IMC CLI命令注入漏洞（CVE-2024-20295）的安全预警
关于Cisco IMC CLI命令注入漏洞（CVE-2024-20295）的安全预警一、 基本情况Cisco Integrated Management Controller（简称IMC）是一种底板管理控制器，用于通过多个接口管理 UCS C系列机架和UCS S系列存储服务器，包括 XML API、Web (WebUI) 和命令行 (CLI) 接口。二、 漏洞描述Cisco IMC中修复了一个本地权限提升漏洞（CVE-2024-20295），其CVSS评分为8.8，目前该漏洞的PoC/EXP已公开。由于对用户提供的输入验证不足，Cisco IM...
关于PuTTY密钥恢复漏洞（CVE-2024-31497）的安全预警
关于PuTTY密钥恢复漏洞（CVE-2024-31497）的安全预警一、 基本情况PuTTY 是一种流行的开源终端仿真器、串行控制台和网络文件传输应用程序，支持 SSH、Telnet、SCP和SFTP等协议，可使用该软件通过SSH远程访问和管理服务器和其他网络设备。二、 漏洞描述PuTTY 版本0.68 - 0.80中使用NIST P521曲线的ECDSA私钥生成签名的代码中存在漏洞（当使用PuTTY或Pageant对SSH服务器进行身份验证时，它会根据密钥生成签名），获得约60条签名消...
关于Rust命令注入漏洞（CVE-2024-24576）的安全预警
关于Rust命令注入漏洞（CVE-2024-24576）的安全预警一、 基本情况Rust是一种通用、编译型编程语言，强调性能、类型安全和并发性，支持函数式、并发式、过程式以及面向对象的编程风格。二、 漏洞描述Rust 标准库中存在命令注入漏洞（CVE-2024-24576，被称为BatBadBut），该漏洞的CVSS评分为10.0，可能在Windows系统上导致命令注入攻击，目前该漏洞的细节已公开。Rust标准库1.77.2 版本之前，在 Windows 上使用Command API 调用批...
关于D-Link NAS设备命令注入漏洞（CVE-2024-3273）的安全预警
关于D-Link NAS设备命令注入漏洞（CVE-2024-3273）的安全预警一、 基本情况多款D-Link网络附加存储 (NAS) 设备型号中存在硬编码帐户后门漏洞（CVE-2024-3272，CVSS评分9.8）和命令注入漏洞（CVE-2024-3273，CVSS评分7.3），目前这些漏洞的详情及PoC/EXP已公开，且已发现被利用。二、 漏洞描述D-Link DNS-320L、DNS-325、DNS-327L、DNS-340L等多个产品的/cgi-bin/nas_sharing.cgi脚本中存在硬编码后门漏洞（用户名messagebus，密...
关于WordPress LayerSlider插件SQL注入漏洞（CVE-2024-2879）的安全预警
关于WordPress LayerSlider插件SQL注入漏洞（CVE-2024-2879）的安全预警一、 基本情况WordPress插件LayerSlider是一款可视化网页内容编辑器、图形设计软件和数字视觉效果应用程序，全球活跃安装量超过 1,000,000 次。二、 漏洞描述LayerSlider插件中存在一个SQL注入漏洞（CVE-2024-2879），其CVSS评分为9.8，目前该漏洞的技术细节已公开。LayerSlider插件版本7.9.11 – 7.10.0中，由于对用户提供的参数转义不充分以及缺少wpdb::...
关于XZ-Utils供应链后门漏洞（CVE-2024-3094）的安全预警
关于XZ-Utils供应链后门漏洞（CVE-2024-3094）的安全预警一、 基本情况XZ-Utils是Linux/Unix系统中用于处理.xz和.lzma文件的命令行压缩工具，集成了liblzma等组件。二、 漏洞描述国外安全研究员发布消息，在xz-utils软件包5.6.0到5.6.1版本中，存在供应链攻击及植入后门风险，漏洞编号为CVE-2024-3094，漏洞的CVSS评分为10.0。3月29日，微软PostgreSQL开发人员Andres Freund在调查SSH性能问题时，在开源安全邮件列表中发帖称，...
