更新

2025-11-05 17:32:43 +00:00 · 2025-09-04 03:00:02 +08:00 · 2025-09-04 03:00:02 +08:00 · 77c9c214e3
commit 77c9c214e3
parent 7ce6dddbd8
1 changed files with 105 additions and 0 deletions
--- a/results/2025-09-04.md
+++ b/results/2025-09-04.md
@ -0,0 +1,105 @@
+
+# 安全资讯日报 2025-09-04
+
+> 本文由AI自动生成，基于对安全相关仓库、CVE和最新安全研究成果的自动化分析。
+> 
+> 更新时间：2025-09-04 01:49:46
+
+<!-- more -->
+
+## 今日资讯
+
+### 🔍 漏洞分析
+
+* [记一次SRC高危逻辑漏洞挖掘](https://mp.weixin.qq.com/s?__biz=MzU2NDY2OTU4Nw==&mid=2247523548&idx=1&sn=8d5da9992a0bed083939276df559fed3)
+* [覆盖YSOSerial、Hessian、Shiro、JDBC…全网最全Java Gadget生成工具|Java漏洞利用神器](https://mp.weixin.qq.com/s?__biz=Mzg3ODE2MjkxMQ==&mid=2247494458&idx=1&sn=3076fefcbe5bcab4b7ebf6876792db26)
+* [验证码防的住hacker吗？总结最全验证码漏洞](https://mp.weixin.qq.com/s?__biz=Mzk5MDg2NTQyOA==&mid=2247483676&idx=1&sn=191fafe4569f471049509314d3f020be)
+
+### 🔬 安全研究
+
+* [GB T 20520-2025 网络安全技术 公钥基础设施 时间戳规范 将于2026年2月1日实施](https://mp.weixin.qq.com/s?__biz=MzkzMjE5MTY5NQ==&mid=2247504633&idx=3&sn=4a3bdda1c1639295c13ac3f93d3e610b)
+
+### 🎯 威胁情报
+
+* [俄罗斯情报机构推出新型安卓恶意软件，可伪装成杀毒软件](https://mp.weixin.qq.com/s?__biz=Mzg3ODY0NTczMA==&mid=2247493535&idx=1&sn=db805794f320ceea0a1cc85a56b59f90)
+* [北信源为上合组织新一代数字基础设施建言献策](https://mp.weixin.qq.com/s?__biz=MzA5MTM1MjMzNA==&mid=2653426732&idx=1&sn=be27fececdea68db1bd731d8fa67c494)
+
+### 🛠️ 安全工具
+
+* [代码审计 diff 工具推荐](https://mp.weixin.qq.com/s?__biz=MzkwMzQyMTg5OA==&mid=2247488536&idx=1&sn=7bd4a4796a6d3ddebde8cdb47087d709)
+
+### 🍉 吃瓜新闻
+
+* [低级错误引发严重数据泄露事故，知名运营商被罚近7亿元](https://mp.weixin.qq.com/s?__biz=MzkzMjE5MTY5NQ==&mid=2247504633&idx=2&sn=ce7ebd12726449951622e6eb990f30fb)
+
+### 📌 其他
+
+* [分享图片](https://mp.weixin.qq.com/s?__biz=MzI3Njc1MjcxMg==&mid=2247496252&idx=1&sn=21a4c59fd3ce8e62c0efe307b5e2526f)
+* [信息窃取者：现代网络犯罪背后的无声抢劫](https://mp.weixin.qq.com/s?__biz=MzA5MzU5MzQzMA==&mid=2652118035&idx=1&sn=6384c4c585372956b9bf7a984150d6ff)
+* [网络空间部队方队首次接受检阅](https://mp.weixin.qq.com/s?__biz=MzkzMjE5MTY5NQ==&mid=2247504633&idx=1&sn=a0c2ddc2e33223ee1b2f41c4d3304687)
+
+## 安全分析
+(2025-09-04)
+
+本文档包含 AI 对安全相关内容的自动化分析结果。[概览](https://blog.897010.xyz/c/today)
+
+
+### CVE-2025-56803 - Figma桌面应用命令注入漏洞
+
+#### 📌 漏洞信息
+
+| 属性 | 详情 |
+|------|------|
+| CVE编号 | CVE-2025-56803 |
+| 风险等级 | `CRITICAL` |
+| 利用状态 | `POC可用` |
+| 发布时间 | 2025-09-03 00:00:00 |
+| 最后更新 | 2025-09-03 17:39:52 |
+
+#### 📦 相关仓库
+
+- [CVE-2025-56803](https://github.com/shinyColumn/CVE-2025-56803)
+
+#### 💡 分析概述
+
+该仓库提供了关于Figma桌面应用程序中插件加载器中的命令注入漏洞(CVE-2025-56803)的详细信息。该漏洞允许攻击者通过构造恶意的插件`manifest.json`文件，利用`build`字段绕过安全防护，执行任意操作系统命令。该仓库中的`README.md`文档详细描述了漏洞原理、利用方式和修复建议。特别地，`build`字段在没有经过任何校验的情况下，被直接传递给`child_process.exec()`函数，从而导致命令注入。该漏洞影响Figma桌面应用程序v125.6.5版本。此漏洞极具实战威胁。
+
+#### 🔍 关键发现
+
+| 序号 | 发现内容 |
+|------|----------|
+| 1 | Figma桌面应用插件加载器存在命令注入漏洞。 |
+| 2 | 通过构造恶意的plugin manifest.json文件中的build字段进行攻击。 |
+| 3 | build字段未经过任何校验，直接传递给child_process.exec()函数执行。 |
+| 4 | 成功利用可导致远程代码执行，控制受害者系统。 |
+
+#### 🛠️ 技术细节
+
+> 漏洞位于Figma桌面应用程序的插件加载器中。
+
+> 攻击者构造恶意的`manifest.json`文件，在`build`字段中注入恶意命令。
+
+> 应用程序在加载插件时，直接使用`child_process.exec()`执行`build`字段的内容，未进行任何过滤。
+
+> 利用此漏洞，攻击者可以执行任意操作系统命令，实现远程代码执行。
+
+
+#### 🎯 受影响组件
+
+```
+• Figma Desktop Application (Figma桌面应用程序) v125.6.5
+```
+
+#### ⚡ 价值评估
+
+<details>
+<summary>展开查看详细评估</summary>
+
+该漏洞为0day，Figma桌面应用程序用户量巨大，利用难度极低，危害程度极高。成功利用可导致完全控制受害者系统，威胁等级为CRITICAL。及时修补补丁覆盖率低，存在大规模利用风险。
+</details>
+
+---
+
+
+## 免责声明
+本文内容由 AI 自动生成，仅供参考和学习交流。文章中的观点和建议不代表作者立场，使用本文信息需自行承担风险和责任。