【威胁通告】Django SQL注入漏洞(CVE-2020-7471)
近日，Django 官方发布安全通告公布了一个通过StringAgg（分隔符）的潜在SQL注入漏洞（CVE-2020-7471）。
如果将不受信任的数据用作StringAgg分隔符，则部分版本的 Django将允许SQL注入。
通过将精心设计的分隔符传递给contrib.postgres.aggregates.StringAgg实例，可以打破转义并注入恶意SQL。
目前已存在针对该漏洞的 PoC。
【威胁通告】《Adobe 2月安全更新安全威胁通告》
当地时间2月11日，Adobe官方发布了2月安全更新，修复了Adobe 多款产品的多个漏洞，包括Adobe Experience Manager、Adobe Digital Editions、Adobe Flash Playe、Adobe Acrobat and Reader以及Adobe Framemaker等。
【威胁通告】《微软发布2月补丁修复100个安全问题》
微软于周二发布了2月安全更新补丁，修复了100个从简单的欺骗攻击到远程执行代码的安全问题，产品涉及Adobe Flash Player、Internet Explorer、Microsoft Edge、Microsoft Exchange Server、Microsoft Graphics Component、Microsoft Malware Protection Engine、Microsoft Office、Microsoft Office SharePoint、Microsoft Scripting Engine、Microsoft Windows、Microsoft Windows Search Component、Remote Desktop Client、Secure Boot、SQL Server、Windows Authentication Methods、Windows COM、Windows Hyper-V、Windows Installer、Windows Kernel、Windows Kernel-Mode Drivers、Windows Media、Windows NDIS、Windows RDP、Windows Shell以及Windows Update Stack。
恶意MySQL Server读取MySQL Client端文件
据说最早2013年在俄国论坛出现。大意是，MySQL Server有机会指示MySQL Client主动上传指定文件，细节参看[1]、[2]，写得很清楚，建议先看完它们再继续。
【威胁通告】Cisco（思科）发现协议漏洞（CDP）
北京时间2月6日，思科（Cisco）官方修复了存在于CDP协议中的5个高危漏洞，该协议可允许思科设备在内网环境通过多播消息互相分享消息，主要影响IP电话和摄像头设备。
【威胁通告】FusionAuth远程命令执行（CVE-2020-7799）漏洞
在FusionAuth中经过身份验证的用户可以编辑电子邮件模板或主题，从而通过处理自定义模板的Apache FreeMarker引擎中的freemarker.template.utility.Execute在底层操作系统上执行任意命令。
【威胁通告】Apache FreeMarker模板FusionAuth远程代码执行漏洞 （CVE-2020-7799）
近日，Apache FusionAuth发布新版本修复了一个远程代码执行漏洞。该组件利用了Apache FreeMarker模板引擎，通过验证的用户在使用Apache FusionAuth进行模板编辑时，可以利用freemarker.template.utility.Execute在服务器上执行任意命令。
【M01N】CVE-2020-0601 Windows CryptoAPI欺骗漏洞分析
1月15日，微软发布了针对CVE-2020-0601的安全补丁，该漏洞是微软在实现椭圆曲线加密算法数字证书验证时产生，可被利用于伪造来自可信任来源的签名或证书，并且因其业务特性会衍生出多种攻击向量，具有极高的可利用价值和极大的潜在破坏力，Win 10和windows server 2016 & 2019也都在其影响范围内。