【漏洞预警】飞牛-私有云fnOS 文件读取漏洞 好，我需要帮用户总结这篇文章的内容，控制在100字以内。首先，文章讲的是飞牛-私有云fnOS的文件读取漏洞，风险等级高危。受影响的主要场景包括中小企业、创业团队、企业多媒体备份和特定行业数据管理。漏洞源于app-center-static接口处理参数不当，导致路径穿越和潜在的远程命令执行。攻击者无需认证，隐蔽性强。修复建议包括安全访问方式和更新至最新版本。 接下来，我需要把这些要点浓缩成一段话，确保不超过100字。要突出漏洞名称、风险等级、受影响场景、漏洞原因、攻击特征和修复措施。同时，语言要简洁明了，直接描述内容。 最后，检查字数是否符合要求，并确保信息准确无误。 </think> 飞牛-私有云fnOS存在高危文件读取漏洞，影响中小企业、创业团队及特定行业数据存储场景。漏洞源于接口处理不当，可导致路径穿越和远程控制。修复建议包括安全访问措施和更新至最新版本。... 2026-2-2 19:22:7 | 阅读: 4 | 收藏 | NOSEC 安全讯息平台 - 漏洞预警 - nosec.org 漏洞 数据 风险 fnos 协同

【漏洞预警】SmarterMail ConnectToHub /api/v1/settings/s... 好，我现在需要帮用户总结一篇文章的内容，控制在一百个字以内。首先，我得仔细阅读用户提供的文章内容，了解主要信息。 文章讲的是SmarterMail软件中的一个高危漏洞，CVE-2026-24423。这个漏洞存在于ConnectToHub API接口，因为没有身份验证，攻击者可以构造特定请求，诱导服务器连接到恶意服务器，进而执行恶意命令。这会导致远程代码执行，控制整个系统，造成数据泄露和中断。 接下来，我需要提取关键点：软件名称、漏洞名称、风险等级、漏洞原因、影响后果、修复建议以及检测工具。然后把这些信息浓缩成简短的句子。 要注意用词简洁明了，避免使用复杂的术语。同时，确保不超过一百个字。最后检查是否有遗漏的重要信息，并调整句子结构使其流畅自然。 </think> SmarterMail ConnectToHub API接口存在未验证访问者身份的高危漏洞（CVE-2026-24423），攻击者可构造特定请求诱导服务器连接恶意HTTP服务器并执行恶意命令，导致远程代码执行和系统完全控制。建议用户更新至Build 9511及以上版本以修复漏洞。... 2026-1-29 19:59:24 | 阅读: 0 | 收藏 | NOSEC 安全讯息平台 - 漏洞预警 - nosec.org 漏洞 smartermail 攻击者 风险

【漏洞预警】Moltbot（Clawdbot）Gateways 未授权访问漏洞 嗯，用户让我总结一下这篇文章的内容，控制在一百个字以内，而且不需要用“文章内容总结”之类的开头。直接写描述就行。好的，我先看看文章内容。 文章讲的是Moltbot（以前叫Clawdbot）的一个高危漏洞。它是一个开源的AI智能体，功能挺强大的，能通过聊天软件接收指令，直接操控电脑执行任务，还有持久记忆能力。这听起来挺有用的，但漏洞也很严重。 漏洞的原因是认证逻辑有缺陷。当部署在NGINX或Caddy这些反向代理服务器上，并且没有正确配置gateway.trustedProxies的时候，外部请求的源IP会被代理服务器替换为127.0.0.1。而Moltbot默认信任来自localhost的连接，并自动授予权限。这样一来，攻击者就可以绕过认证机制，直接访问和控制Moltbot实例了。 攻击者一旦得逞，可以通过提示注入、响应篡改等方式操纵AI助手，窃取敏感数据，包括第三方服务凭证等遥测数据。这对企业来说危害极大，可能导致核心业务数据泄露。 建议企业立即排查并修复所有暴露在公网的Moltbot实例。还提到了临时修复方案和检测工具的信息。 好的，现在要总结成一百个字以内。我需要抓住关键点：Moltbot存在未授权访问漏洞，高危风险；原因是在反向代理下未配置gateway.trustedProxies导致源IP被替换为localhost；攻击者可绕过认证控制AI助手窃取敏感数据；建议修复配置。 所以总结的话大概是：Moltbot因反向代理配置不当导致未授权访问漏洞，攻击者可操控AI助手窃取敏感数据。 </think> Moltbot因反向代理配置不当导致未授权访问漏洞,攻击者可操控AI助手窃取敏感数据。... 2026-1-29 19:59:21 | 阅读: 0 | 收藏 | NOSEC 安全讯息平台 - 漏洞预警 - nosec.org clawdbot 漏洞 moltbot 信任

【漏洞预警】SmarterMail /api/v1/auth/force-reset-passwo... 嗯，用户让我总结一下这篇文章的内容，控制在100字以内。首先，我需要仔细阅读文章，抓住关键点。文章讲的是SmarterMail的一个API漏洞，漏洞名称是权限绕过漏洞，风险等级是高危。 SmarterMail是一个企业级邮件服务器解决方案，集成了很多功能，所以安全性很重要。漏洞的原因是系统在处理管理员密码重置请求时，没有正确验证OldPassword参数。这意味着攻击者可以构造特定的HTTP请求来重置管理员密码。 进一步的后果是攻击者可以利用内置的“Volume Mounts”功能提升权限到SYSTEM级别，从而实现未授权的远程代码执行（RCE）。目前这个漏洞已经在野外被利用了。 受影响的版本是Build 9511之前的版本，临时修复方案是升级到Build 9511或更高版本。检测工具方面提到了Goby EXP，并附有视频演示。 现在我要把这些信息浓缩到100字以内。要包括漏洞名称、风险等级、影响范围、漏洞原因、攻击后果、修复方案和检测工具。 可能的结构：SmarterMail存在高危权限绕过漏洞，允许攻击者重置管理员密码并提权至SYSTEM，实现RCE。该漏洞已被野外利用，建议升级至Build 9511或更高版本以修复。 这样大约80字左右，符合要求。 </think> SmarterMail 存在高危权限绕过漏洞，允许攻击者通过构造特定 HTTP 请求重置管理员密码，并利用内置功能提权至 SYSTEM 级别，最终实现未授权远程代码执行（RCE）。该漏洞已被监测到在野利用，建议升级至 Build 9511 或更高版本以修复。... 2026-1-22 19:29:6 | 阅读: 0 | 收藏 | NOSEC 安全讯息平台 - 漏洞预警 - nosec.org 漏洞 smartermail 9511 风险

【漏洞预警】GNU InetUtils Telnetd USER环境变量注入 权限... 嗯，用户让我帮忙总结一篇文章的内容，控制在100个字以内，而且不需要用特定的开头。首先，我得仔细阅读这篇文章，抓住主要信息。 文章讲的是一个叫做GNU InetUtils Telnetd的漏洞，漏洞名称是CVE-2026-24061，风险等级是高危。漏洞描述中提到telnetd在调用login程序时没有过滤USER环境变量传入的用户名，导致攻击者可以直接获取root权限。受影响的主要设备是NAS设备，官方已经发布了补丁，建议用户更新或者禁用telnetd。 所以总结的时候要包括漏洞名称、影响、风险等级、攻击方式以及修复建议。控制在100字以内的话，需要简洁明了。 可能会这样写：GNU InetUtils Telnetd存在高危漏洞（CVE-2026-24061），攻击者可利用USER环境变量注入绕过权限，获取root shell。受影响设备多为NAS，官方已发布补丁修复。 这样既涵盖了关键点，又符合字数要求。 </think> GNU InetUtils Telnetd 存在高危漏洞（CVE-2026-24061），攻击者可通过 USER 环境变量注入绕过权限验证，直接获取目标主机的 root shell。该漏洞影响范围较大，尤其以 NAS 设备为主。官方已发布安全补丁修复此问题。... 2026-1-22 16:39:44 | 阅读: 0 | 收藏 | NOSEC 安全讯息平台 - 漏洞预警 - nosec.org inetutils 漏洞 telnetd 远程 风险

【漏洞预警】Cal.com /api/auth/session 权限绕过漏洞（CVE... Cal.com日程安排工具存在高危身份认证绕过漏洞（CVE-2026-23478），影响3.1.6至6.0.7版本。攻击者可构造目标用户邮箱获取会话权限，导致账户接管及敏感数据泄露。建议升级至6.0.7及以上版本，并采取临时修复措施如禁用功能、二次验证及启用双因素认证以增强安全防护。... 2026-1-15 20:52:36 | 阅读: 0 | 收藏 | NOSEC 安全讯息平台 - 漏洞预警 - nosec.org 漏洞 cal 风险 安全 calcom

【漏洞预警】Apache Struts XWork 组件 XML外部实体注入漏... 好，我现在需要帮用户总结这篇文章的内容，控制在100字以内。首先，我得通读整篇文章，抓住关键点。 文章主要讲的是Apache Struts框架中的一个漏洞，CVE-2025-68493。这是一个中危风险的漏洞。漏洞的原因是XWork-Core组件在处理XML解析时没有正确配置安全设置，导致攻击者可以利用XXE漏洞进行攻击。 接下来，攻击者可能窃取敏感数据、发起SSRF或DoS攻击。文章还提到PoC和细节已经公开，所以建议用户立即采取措施。受影响的版本包括多个范围，比如2.0.0到2.3.37，还有2.5和6.0的一些版本。 修复方案方面，官方已经发布了新版本，建议升级到6.1.1或更高。如果暂时无法升级，可以使用自定义SAXParserFactory或者配置JVM参数来禁用外部实体解析。 最后，文章还提到了检测工具Goby的效果，并附上了补丁链接。 总结的时候要涵盖漏洞名称、风险等级、影响范围、可能后果以及修复建议。控制在100字以内，所以需要简洁明了。 现在组织语言：先点出漏洞名称和风险等级，然后说明影响范围和后果，最后给出修复措施。确保不使用“文章内容总结”这样的开头。 最终的总结应该是：Apache Struts XWork组件存在XML外部实体注入漏洞（CVE-2025-68493），中危风险。该漏洞可能导致敏感数据泄露、SSRF及DoS攻击。受影响版本包括多个Struts 2.x和6.x版本。建议升级至6.1.1或更高版本，并采取临时缓解措施如禁用外部实体解析。 </think> Apache Struts XWork组件存在XML外部实体注入漏洞（CVE-2025-68493），中危风险。该漏洞可能导致敏感数据泄露、SSRF及DoS攻击。受影响版本包括多个Struts 2.x和6.x版本。建议升级至6.1.1或更高版本，并采取临时缓解措施如禁用外部实体解析。... 2026-1-15 12:1:31 | 阅读: 0 | 收藏 | NOSEC 安全讯息平台 - 漏洞预警 - nosec.org struts 漏洞 xm xwork djavax

【漏洞预警】MindsDB /api/sql/query 未授权访问漏洞（CVE-... 嗯，用户让我帮忙总结一篇文章，控制在一百个字以内，而且不需要特定的开头。我得先仔细看看文章内容。 文章讲的是MindsDB的一个漏洞，CVE编号是2025-68472，风险等级高。漏洞出现在/api/sql/query接口，未授权访问。影响版本是25.11.1之前，攻击者可以利用路径遍历读取服务器文件，导致敏感信息泄露。 我需要把这些关键点浓缩到一百字以内。首先确定漏洞名称、风险等级、影响版本和攻击后果。然后确保语言简洁明了。 可能的结构：MindsDB某版本前存在高危漏洞，攻击者可利用路径遍历读取服务器文件，造成敏感信息泄露。建议升级到最新版本修复。 检查字数是否在限制内，并确保没有使用不需要的开头词。 </think> MindsDB在25.11.1之前版本中存在未授权访问漏洞（CVE-2025-68472），攻击者可通过构造恶意路径读取服务器任意文件并移动至存储目录中，导致敏感信息泄露。建议升级至最新版本修复。... 2026-1-14 19:7:14 | 阅读: 0 | 收藏 | NOSEC 安全讯息平台 - 漏洞预警 - nosec.org mindsdb 漏洞 github 数据 风险

【漏洞预警】Zimbra Collaboration Suite /h javax.servlet... Zimbra Collaboration Suite 存在文件包含漏洞（CVE-2025-68645），高风险。攻击者可构造恶意路径参数获取服务器敏感文件。影响 ZCS 10.0 和 10.1 的旧版本，建议更新至最新版本修复。... 2025-12-30 18:46:0 | 阅读: 18 | 收藏 | NOSEC 安全讯息平台 - 漏洞预警 - nosec.org zimbra 漏洞 风险 wiki

【漏洞预警】同迅科技-神行者路由 / chkid 代码执行漏洞（C... 好，我现在需要帮用户总结一篇文章，控制在100字以内。首先，我得仔细阅读文章内容，抓住关键点。 文章讲的是同迅科技的神行者路由设备存在一个代码执行漏洞，CVE编号是2025-54322。风险等级很高。漏洞出现在vLogin.py接口，攻击者可以通过chkid参数提交base64编码的Python代码，结合其他参数构造恶意请求，在无需认证的情况下以root权限执行任意代码。 影响方面，可能导致服务器被完全控制、数据泄露、系统被植入后门，并进一步攻击内网。建议升级固件版本，限制接口访问，过滤参数，并加强权限和监控。 总结的时候要简洁明了，涵盖漏洞名称、影响范围、攻击方式和风险等级。确保在100字以内。 </think> 同迅科技神行者路由设备存在高危代码执行漏洞（CVE-2025-54322），攻击者可通过构造恶意请求以root权限执行任意代码，导致服务器被控制、数据泄露及内网攻击风险。建议升级固件并加强防护措施。... 2025-12-30 18:45:58 | 阅读: 20 | 收藏 | NOSEC 安全讯息平台 - 漏洞预警 - nosec.org 漏洞 风险 xspeeder 攻击 chkid

【漏洞预警】Oracle Identity Manager api/v1/applications... 漏洞名称：Oracle Identity Manager api/v1/applications/groovysc riptstatus;.wadl 命令执行漏洞（CVE... 2025-11-26 19:34:0 | 阅读: 14 | 收藏 | NOSEC 安全讯息平台 - 漏洞预警 - nosec.org 漏洞 wadl riptstatus groovysc

【漏洞预警】GeoServer /geoserver/wms GetMap XML 外部实... 漏洞名称：GeoServer /geoserver/wms GetMap xm l 外部实体注入漏洞 （CVE-2025-58360）风险等级：高风险漏洞描述：GeoSe... 2025-11-26 19:33:58 | 阅读: 19 | 收藏 | NOSEC 安全讯息平台 - 漏洞预警 - nosec.org geoserver 漏洞 数据 信息 xm

开发者别大意！Node.js 未授权安全漏洞，你的服务器可能正... Node.js被发现存在高危调试漏洞，开启inspect模式并暴露公网后可被攻击者直接控制服务器。该漏洞影响广泛且风险极高，建议开发者关闭调试功能或严格限制访问权限以避免安全风险。... 2025-9-5 12:34:52 | 阅读: 29 | 收藏 | NOSEC 安全讯息平台 - 漏洞预警 - nosec.org 安全 控制 goby chrome

【漏洞预警】全球数万设备受影响！Clash用户小心：暴露Web... Goby安全团队发现Clash Verge存在两个远程代码执行（RCE）漏洞：4月28日漏洞需本地提权触发；5月19日漏洞可构造恶意网页篡改配置文件，实现任意文件写入和远程命令执行。测试显示攻击链路可删除配置文件或监听流量，默认开启的Web控制服务端口（9090/9097）使历史版本均受影响。公网暴露资产达13700+。修复建议包括升级至新版本、关闭端口并添加密码验证。... 2025-5-22 04:1:25 | 阅读: 29 | 收藏 | NOSEC 安全讯息平台 - 威胁情报 - nosec.org clash 漏洞 攻击 控制 攻击者

以上帝视角进行资产梳理（V2） 文章介绍了FOFA开放实验室中“攻击面梳理”功能的优化升级。新增了网站图标、图标+标题和网站指纹（FID）三个线索模块，并支持排除CDN资产和FID干扰线索。同时优化了用户体验，提供保存历史、一键复制和跳转搜索功能。这些改进旨在提升资产梳理的效率与精准度。... 2024-12-27 02:27:52 | 阅读: 6 | 收藏 | NOSEC 安全讯息平台 - 威胁情报 - nosec.org fid 模块 攻击 数据 网络

对Log4j活动及其XMRig恶意软件的发现 ▌写在前面Shilpesh Trivedi是一名高级安全研究员，同时也是Uptycs威胁情报团队的leader。原文链接：https://www.uptycs.com/b... 2024-5-22 11:36:14 | 阅读: 4 | 收藏 | NOSEC 安全讯息平台 - 威胁情报 - nosec.org 攻击 漏洞 log4j c3pool xmrig

FOFA资产拓线实战系列：Ducktail犯罪组织 Ducktail是一个2021年被发现的网络犯罪组织，具有越南背景。该组织主要针对Facebook企业账号进行攻击，通过伪装成图片、文档等文件的恶意程序，利用鱼叉式攻击方... 2024-2-29 15:23:11 | 阅读: 18 | 收藏 | NOSEC 安全讯息平台 - 威胁情报 - nosec.org 186 fofax cnxjunbsg

FOFA资产拓线实战系列：APT-C-23 Android端 ▌概述本篇内容专注于对APT-C-23（双尾蝎）在安卓端的恶意活动进行深度剖析。APT-C-23，又称Arid  Viper、Micropsia、Frozen  Cell... 2024-2-2 15:47:47 | 阅读: 50 | 收藏 | NOSEC 安全讯息平台 - 威胁情报 - nosec.org 攻击 信息 钓鱼 杀毒 威胁

FOFA资产拓线实战系列：响尾蛇APT组织 ▌概述在我们的前几篇文章中，我们通过实际的案例，以更接近用户的角度分享和展示了如何使用FOFA进行资产拓线，收获了非常多反馈和好评。因此，我们决定将“FOFA资产拓线实战... 2024-1-12 16:17:32 | 阅读: 23 | 收藏 | NOSEC 安全讯息平台 - 威胁情报 - nosec.org org2023 info2023

追踪信息窃取者RisePro的网络犯罪踪迹 这片文章主要描述了作者对于一款叫做RisePro恶意软件的调查分析结果，包括对软件已知信息进行分析、售卖渠道进行统计、使用各种工具对互联网上的恶意软件资产进行手机、开发作... 2024-1-4 14:13:9 | 阅读: 9 | 收藏 | NOSEC 安全讯息平台 - 威胁情报 - nosec.org risepro 信息 easylead c2 窃取