Weblogic wls9-async反序列化远程代码执行漏洞(CVE-2019-2725)漏洞分析

这个漏洞最先由某厂商报给某银行,某银行再将该信息报给CNVD,后CNVD通告:国家信息安全漏洞共享平台(CNVD)收录了由该银行报送的Oracle WebLogic wls9-async反序列化远程命令执行漏洞(CNVD-C-2019-48814),详情见链接:cnvd 对于该漏洞,Oracle官方也破例了一回,提前发了补丁,但是这个补丁只是针对10.3.6系列的,对于12版本系列还未披露补丁。所以还是请各位谨慎对待,勒索大军跃跃欲试。

阅读全文 “Weblogic wls9-async反序列化远程代码执行漏洞(CVE-2019-2725)漏洞分析” »

SA-CORE-2019-004 Drupal内核从XSS到RCE漏洞分析及利用

3月20日,Drupal官方发布SA-CORE-2019-004漏洞预警,修复了一处文件名处理异常,当我们上传特殊文件名时可以绕过限制在服务器上创建“无后缀”文件,精心构造的文件经过浏览器解析后可以触发XSS漏洞,再进一步可以达到代码执行的目的。官方描述该漏洞为中危影响,因为该漏洞需要登录,并且需要作者权限来上传文件才能触发。

阅读全文 “SA-CORE-2019-004 Drupal内核从XSS到RCE漏洞分析及利用” »