mirror of
https://github.com/Hxnxe/CyberSentinel-AI.git
synced 2025-11-04 17:13:53 +00:00
更新
This commit is contained in:
ubuntu-master
parent
05b7a8a262
commit
8c29c8bc01
@ -3,7 +3,7 @@
|
||||
|
||||
> 本文由AI自动生成，基于对安全相关仓库、CVE和最新安全研究成果的自动化分析。
|
||||
>
|
||||
> 更新时间：2025-10-02 20:16:52
|
||||
> 更新时间：2025-10-02 22:42:30
|
||||
|
||||
<!-- more -->
|
||||
|
||||
@ -22,6 +22,7 @@
|
||||
* [记一次edusrc超级简单的rce挖掘](https://mp.weixin.qq.com/s?__biz=Mzk1NzgzMjkxOQ==&mid=2247485384&idx=1&sn=5d2080e06cf48fd830f9571de952270c)
|
||||
* [思科防火墙曝重大0Day漏洞（CVE-2025-20333），48800余个设备可能遭攻击](https://mp.weixin.qq.com/s?__biz=MjM5NjA0NjgyMA==&mid=2651328350&idx=2&sn=22d42b4d56669eb3ac3ee3eb2dbad4d5)
|
||||
* [从 低危 到 RCE](https://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247498345&idx=1&sn=7b1cbb0cf5a53b15026fa7cef9af0518)
|
||||
* [利用大模型生成准确几何图，助力AI教育创业](https://mp.weixin.qq.com/s?__biz=MzkxMDc1NzU1Ng==&mid=2247484277&idx=1&sn=5b5e4d94d27abbc5978d129df715c017)
|
||||
|
||||
### 🔬 安全研究
|
||||
|
||||
@ -66,6 +67,7 @@
|
||||
* [国庆网安专栏 | 护航数字政府，构建政务安全监测和防护体系](https://mp.weixin.qq.com/s?__biz=MzI2MzU0NTk3OA==&mid=2247507206&idx=2&sn=7bebf0bd5af272900c6b8b28c47c4597)
|
||||
* [使用 Hayabusa 和 SOF-ELK 驯服 Windows 事件日志（第 1 部分）](https://mp.weixin.qq.com/s?__biz=MzAxODM5ODQzNQ==&mid=2247490718&idx=1&sn=f1814e194959bc338957e035ccb40f62)
|
||||
* [网警带你“沉浸式”了解《生成式人工智能服务管理暂行办法》](https://mp.weixin.qq.com/s?__biz=MjM5OTk4MDE2MA==&mid=2655292590&idx=2&sn=ea29168b76dde918a06307cf0db55875)
|
||||
* [mitmproxy编程使用教程（全网首发靶场的mitmproxy脚本编写思路）-让加解密行业人才再上一个台阶！](https://mp.weixin.qq.com/s?__biz=MzI3NjM2ODA2Mg==&mid=2247486224&idx=1&sn=ae2885e11cdc9f6f2b140e33009e93fa)
|
||||
|
||||
### 🍉 吃瓜新闻
|
||||
|
||||
@ -118,6 +120,11 @@
|
||||
* [汽车电子电气架构正向开发流程](https://mp.weixin.qq.com/s?__biz=MzIzOTc2OTAxMg==&mid=2247560473&idx=2&sn=9082533d4da63042e69a65078ccf3aa4)
|
||||
* [写一个简单的VMP-不造轮子，何以知轮之精髓？](https://mp.weixin.qq.com/s?__biz=MjM5NTc2MDYxMw==&mid=2458601621&idx=1&sn=26567a67b339c86f7cfafe8985af0daf)
|
||||
* [Code是AI的手：姚顺雨访谈与Python-Use范式的对话](https://mp.weixin.qq.com/s?__biz=Mzg5OTU1NTEwMg==&mid=2247484432&idx=1&sn=08f9bc756097a23e7add75ed2460b8ff)
|
||||
* [基础ACL和高级ACL，到底有什么区别？它们的编号范围又是多少？](https://mp.weixin.qq.com/s?__biz=MzIyMzIwNzAxMQ==&mid=2649471005&idx=1&sn=aea98d3802af00131b423c412a2060f5)
|
||||
* [开心，开心!!](https://mp.weixin.qq.com/s?__biz=MzIzMjg0MjM5OQ==&mid=2247488209&idx=1&sn=5659f53d7337f85e58402508ef5f419f)
|
||||
* [从输入网址到页面显示，这中间到底发生了什么魔法？](https://mp.weixin.qq.com/s?__biz=MzI5MjY4MTMyMQ==&mid=2247492507&idx=1&sn=ee08fe533832bf56bd161c99f75a282a)
|
||||
* [国庆中秋双节专享，节后删](https://mp.weixin.qq.com/s?__biz=Mzg2ODYxMzY3OQ==&mid=2247519846&idx=1&sn=816a89bd1fa04afc2e46a6888d78f9c7)
|
||||
* [为什么人工智能对能源的需求将持续增长](https://mp.weixin.qq.com/s?__biz=MzI1OTExNDY1NQ==&mid=2651621898&idx=1&sn=66768957061e3f14b13bce06732016d5)
|
||||
|
||||
## 安全分析
|
||||
(2025-10-02)
|
||||
@ -3874,6 +3881,66 @@ CISO Assistant是一个GRC（治理、风险与合规）平台，支持多种安
|
||||
|
||||
---
|
||||
|
||||
### CVE-2025-56379 - ERPNext/Frappe 博客XSS漏洞
|
||||
|
||||
#### 📌 漏洞信息
|
||||
|
||||
| 属性 | 详情 |
|
||||
|------|------|
|
||||
| CVE编号 | CVE-2025-56379 |
|
||||
| 风险等级 | `HIGH` |
|
||||
| 利用状态 | `POC可用` |
|
||||
| 发布时间 | 2025-10-02 00:00:00 |
|
||||
| 最后更新 | 2025-10-02 12:11:17 |
|
||||
|
||||
#### 📦 相关仓库
|
||||
|
||||
- [CVE-2025-56379](https://github.com/MoAlali/CVE-2025-56379)
|
||||
|
||||
#### 💡 分析概述
|
||||
|
||||
该仓库提供了针对ERPNext和Frappe的存储型跨站脚本（XSS）漏洞的详细信息。漏洞存在于博客模块中，允许已通过身份验证的用户在内容字段中注入恶意HTML/JavaScript代码。提交记录详细描述了漏洞，包括受影响的版本和PoC。漏洞利用方式为，攻击者构造恶意的HTML标签，并将其注入到博客文章的内容字段中，当其他用户浏览该博客文章时，恶意脚本将在其浏览器中执行，从而可能导致会话劫持、数据窃取或网页篡改等安全风险。由于是存储型XSS，危害相对较高，并且目前尚未修复。
|
||||
|
||||
#### 🔍 关键发现
|
||||
|
||||
| 序号 | 发现内容 |
|
||||
|------|----------|
|
||||
| 1 | 存储型XSS漏洞，危害持久且影响范围广。 |
|
||||
| 2 | 漏洞存在于ERPNext和Frappe的博客模块中。 |
|
||||
| 3 | 攻击者需要已认证的权限才能利用此漏洞。 |
|
||||
| 4 | 攻击者可以构造恶意HTML标签，注入到博客内容字段。 |
|
||||
| 5 | 目前该漏洞尚未修复，存在被利用的风险。 |
|
||||
|
||||
#### 🛠️ 技术细节
|
||||
|
||||
> 漏洞类型：存储型XSS（CWE-79）。
|
||||
|
||||
> 受影响组件：ERPNext (v15.67.0) 和 Frappe (v15.72.4) 博客模块。
|
||||
|
||||
> 攻击向量：攻击者通过在博客文章的内容字段中注入恶意脚本进行攻击。
|
||||
|
||||
> 漏洞位置：/app/blog-post/<blog_name>，content字段
|
||||
|
||||
> 利用方法：攻击者构造恶意HTML标签，例如使用img标签的onerror事件，并在博客文章发布后，访问该文章的用户浏览器将执行恶意脚本。
|
||||
|
||||
|
||||
#### 🎯 受影响组件
|
||||
|
||||
```
|
||||
• ERPNext v15.67.0 博客模块
|
||||
• Frappe v15.72.4 博客模块
|
||||
```
|
||||
|
||||
#### ⚡ 价值评估
|
||||
|
||||
<details>
|
||||
<summary>展开查看详细评估</summary>
|
||||
|
||||
该漏洞属于存储型XSS，影响范围较广，利用门槛低，且危害程度较高，可能导致用户会话劫持，数据泄露等。虽然需要认证，但攻击者一旦获得认证权限，便能持久性地影响所有访问该博客的用户。漏洞发布时间较晚，尚未修复，存在较高的利用价值和安全风险。
|
||||
</details>
|
||||
|
||||
---
|
||||
|
||||
|
||||
## 免责声明
|
||||
本文内容由 AI 自动生成，仅供参考和学习交流。文章中的观点和建议不代表作者立场，使用本文信息需自行承担风险和责任。
|
||||
|
||||
Loading…
x
Reference in New Issue
Block a user