夏虫xm - 博客园

2013年5月25日

Linux kernel perf_events local root exploit

摘要：测试方法:提供程序(方法)可能带有攻击性,仅供安全研究与教学之用,风险自负!/* * Linux kernel perf_events local root exploit * * by wzt 2013 http://www.cloud-sec.org * * gcc -o perf_exp per_exp.c -O2 * * target: 2.6.37 - 3.x * * test on: * rhel6.3/6.4 x86_64 * rhel6.3 + 3.2 kernel */#include<stdint.h>#include<stdio.h>#includ 阅读全文

posted @ 2013-05-25 13:00 夏虫xm 阅读(640) 评论(0) 推荐(0) 编辑

Apache Struts2 includeParams属性远程命令执行漏洞(CVE-2013-1966)

摘要：漏洞版本:Apache Group Struts 2.0.0 - 2.3.14漏洞描述:CVE(CAN) ID: CVE-2013-1966Struts2 是第二代基于Model-View-Controller (MVC)模型的java企业级web应用框架。它是WebWork和Struts社区合并后的产物。Apache Struts2的s:a和s:url标签都提供了一个includeParams属性。此属性允许使用的值包括none、get、all。当该属性被设置为get或all时，Apache Struts2会将用户提交的参数值作为Ognl表达式执行。攻击者可以提交带有恶意的Ongl表达式，达阅读全文

posted @ 2013-05-25 12:59 夏虫xm 阅读(1306) 评论(0) 推荐(0) 编辑

2013年5月23日

WordPress Spider Event Calendar 多个安全漏洞

摘要：漏洞名称：WordPress Spider Event Calendar 多个安全漏洞CNNVD编号：CNNVD-201305-488发布时间：2013-05-23更新时间：2013-05-23危害等级：漏洞类型：威胁类型：远程CVE编号：漏洞来源：Janek Vind "waraxe"Spider Event Calendar是WordPress软件基金会的一款高度可配置的日历插件。 WordPress的Spider Event Calendar插件中存在以下多个安全漏洞：1.多个安全绕过漏洞2.多个SQL注入漏洞3.多个HTML注入漏洞4.多个跨站脚本漏洞。攻击者可利阅读全文

posted @ 2013-05-23 20:53 夏虫xm 阅读(168) 评论(0) 推荐(0) 编辑

Apache Struts ‘ParameterInterceptor’类OGNL安全绕过漏洞

摘要：漏洞名称：Apache Struts ‘ParameterInterceptor’类OGNL安全绕过漏洞CNNVD编号：CNNVD-201305-486发布时间：2013-05-23更新时间：2013-05-23危害等级：漏洞类型：权限许可和访问控制威胁类型：远程CVE编号：漏洞来源：Xgc Kxlzx, Alibaba Security TeamApache Struts是美国Apache软件基金会（ASF）的一款用于开发Java EE Web应用程序的开源Web应用框架。 Apache Struts 2.0.0至2.3.14版本中存在安全绕过漏洞，该漏洞源于程序没有充分处理用户提交的输入阅读全文

posted @ 2013-05-23 20:53 夏虫xm 阅读(238) 评论(0) 推荐(0) 编辑

WordPress Spider Catalog插件多个SQL注入和跨站脚本漏洞

摘要：漏洞名称：WordPress Spider Catalog插件多个SQL注入和跨站脚本漏洞CNNVD编号：CNNVD-201305-489发布时间：2013-05-23更新时间：2013-05-23危害等级：漏洞类型：输入验证威胁类型：远程CVE编号：漏洞来源：Janek VindSpider Catalog是WordPress软件基金会的一个用于将网站上的产品形成产品目录的工具。 WordPress的Spider Catalog插件中存在多个SQL注入和跨站脚本漏洞。攻击者可利用这些漏洞窃取基于cookie的身份认证，控制应用程序，访问或修改数据，或利用底层数据库中潜在的漏洞。Spider 阅读全文

posted @ 2013-05-23 20:52 夏虫xm 阅读(204) 评论(0) 推荐(0) 编辑

WordPress Events Manager插件多个跨站脚本漏洞

摘要：漏洞名称：WordPress Events Manager插件多个跨站脚本漏洞CNNVD编号：CNNVD-201305-490发布时间：2013-05-23更新时间：2013-05-23危害等级：漏洞类型：跨站脚本威胁类型：远程CVE编号：Events Manager是WordPress软件基金会的一款功能全面的事件注册插件，包括重复事件、地点管理、日历、谷歌地图集成、预订管理等。 WordPress的Events Manager插件中存在多个跨站脚本漏洞，这些漏洞源于程序没有充分验证用户提交的输入。当用户浏览被影响的网站时，其浏览器将执行攻击者提供的任意代码，这可能导致攻击者窃取基于coo 阅读全文

posted @ 2013-05-23 20:51 夏虫xm 阅读(205) 评论(0) 推荐(0) 编辑

WordPress ProPlayer插件‘id’参数SQL注入漏洞

摘要：漏洞名称：WordPress ProPlayer插件‘id’参数SQL注入漏洞CNNVD编号：CNNVD-201305-468发布时间：2013-05-22更新时间：2013-05-22危害等级：漏洞类型：SQL注入威胁类型：远程CVE编号：漏洞来源：Ashiyane Digital Security TeamProPlayer是WordPress软件基金会的一个播放器插件。 WordPress的ProPlayer插件中存在SQL注入漏洞，该漏洞源于程序构造SQL查询语句之前没有充分过滤用户提交的数据。攻击者可利用该漏洞控制应用程序，访问或修改数据，或利用底层数据库中潜在的漏洞。ProPla 阅读全文

posted @ 2013-05-23 09:40 夏虫xm 阅读(112) 评论(0) 推荐(0) 编辑

WordPress Digg Digg插件跨站请求伪造漏洞

摘要：漏洞名称：WordPress Digg Digg插件跨站请求伪造漏洞CNNVD编号：CNNVD-201305-452发布时间：2013-05-22更新时间：2013-05-22危害等级：漏洞类型：跨站请求伪造威胁类型：远程CVE编号：CVE-2013-3258漏洞来源：Charlie EriksenDigg Digg是WordPress软件基金会的一个社会分享插件，用于更好的管理显示在博客中的社会分享按钮。 WordPress的Digg Digg插件中存在跨站请求伪造漏洞。远程攻击者可利用该漏洞在受影响程序上下文中执行部分未授权操作，也可能存在其他形式的攻击。Digg Digg 5.3.4版阅读全文

posted @ 2013-05-23 09:40 夏虫xm 阅读(118) 评论(0) 推荐(0) 编辑

2013年5月22日

WordPress WP Cleanfix插件‘wpCleanFixAjax.php’远程PHP代码执行漏洞

摘要：漏洞名称：WordPress WP Cleanfix插件‘wpCleanFixAjax.php’远程PHP代码执行漏洞CNNVD编号：CNNVD-201305-433发布时间：2013-05-21更新时间：2013-05-21危害等级：漏洞类型：威胁类型：远程CVE编号：CVE-2013-2109漏洞来源：Henri SaloWP cleanfix是WordPress软件基金会的一个检查、修复和优化WordPress博客的工具。 WP cleanfix插件中存在远程PHP代码执行漏洞。攻击者可利用该漏洞在受影响应用程序上下文中执行任意PHP代码。目前厂... 阅读全文

posted @ 2013-05-22 10:08 夏虫xm 阅读(121) 评论(0) 推荐(0) 编辑

2013年5月21日

php-Charts 1.0 - Code Execution Vulnerability

摘要： EDB-ID: 25496 Published: 2013-05-17# Exploit Title: PHP-CHARTS v1.0 code execution vulnerability# Date: 05/15/2013# Exploit Author: fizzle stick# Vendor Homepage: http://php-charts.com/# Software Link: http://php-charts.com/downloads/php-chart_v1.0.zip# Version: v1.0# Tested on: Windows Summary: PH. 阅读全文

posted @ 2013-05-21 17:15 夏虫xm 阅读(101) 评论(0) 推荐(0) 编辑

漏洞信息库

公告