diff --git a/data.json b/data.json index 8da39ab2..39fc553e 100644 --- a/data.json +++ b/data.json @@ -19649,5 +19649,8 @@ "https://mp.weixin.qq.com/s/Vd0GfbodXmvweO5I8CJp5Q": "攻击者利用 Outlook 365 漏洞强制截获 NTLM 哈希", "https://mp.weixin.qq.com/s/2IpwEFCCgjtkKUV7JmSvAA": "Chamilo存在命令注入漏洞（CNVD-2026-14971、CVE-2025-50196）", "https://mp.weixin.qq.com/s/2T-79_19Orn9ujAukNePRA": "图形化未授权访问漏洞扫描器，支持检测 40+种 常见服务的未授权漏洞", - "https://mp.weixin.qq.com/s/sCljuPajewd5FldFBBcGhw": "一次报复式 0day 漏洞披露背后的 MSRC 信任危机" + "https://mp.weixin.qq.com/s/sCljuPajewd5FldFBBcGhw": "一次报复式 0day 漏洞披露背后的 MSRC 信任危机", + "https://mp.weixin.qq.com/s/ld2uSh1yBMwhdKC30ZN60Q": "先知通用软件漏洞收集及奖励计划第十一期 正式开始！", + "https://mp.weixin.qq.com/s/isveVZn78xSRDmjErKp9ug": "DudeSuite 漏洞播报 全网漏洞早知道【20260407】", + "https://mp.weixin.qq.com/s/b_udKvis2KisM6rDCQKx5Q": "嘶吼安全动态｜工信部NVDB平台发布风险提示：利用苹果iOS漏洞的攻击活动激增 黑客利用React2Shell发起自动化凭证窃取活动" } \ No newline at end of file diff --git a/doc/2026-04/DudeSuite 漏洞播报 全网漏洞早知道【20260407】.md b/doc/2026-04/DudeSuite 漏洞播报 全网漏洞早知道【20260407】.md new file mode 100644 index 00000000..1162546a --- /dev/null +++ b/doc/2026-04/DudeSuite 漏洞播报 全网漏洞早知道【20260407】.md @@ -0,0 +1,31 @@ +# DudeSuite 漏洞播报 全网漏洞早知道【20260407】 +0x00 + 0x00 星羽安全 2026-04-07 06:47 + +       +DudeSuite Web Security Tools 渗透测试工具，专为执行网络安全保障任务量身定制， +这是一款轻量一体化的单兵渗透利器，集合了重放与爆破、漏洞验证、端口扫描、流量劫持与远程管理等常用功能，并内置编码解码、域名爆破、JWT/SQL注入辅助等实用插件。 +秉承了“All-in-One” 的设计理念，将渗透测试的高频操作融为一体，专为应急响应和攻防演练而 +打造。 + +【洞见先机】 +： +海量且持续更新的POC库：覆盖办公系统、安全设备、网络设备、工控设备、网站系统等等主流应用系统资产。 + +【实时更新】 +：在应急响应和攻防演练中，时间就是一切。你将能获取到时差不超过三天最新漏洞，重点高风险不超过一天，真正做到洞见先机，抢先 +筛查 +排除隐患。 + +【批量验证】 +：面对内网成百上千的资产，市省级授权的全网重点漏洞排查，验证限制让你束手束脚？高级认证版解除所有任务数量限制，让你对资产进行高效、快速的漏洞筛查，效率倍增。 + +【 +程序下载】 +https://www.dudesuite.cn +
数据注入
孚盟云CRM AjaxTrackInfo.ashx SQL注入
数据注入
孚盟云CRM DingHandler.ashx SQL注入
数据注入
大蚂蚁即时通讯系统 moveDept SQL注入
数据注入
月子会所ERP管理云平台 ReturnDate.ashx SQL注入
信息泄露
智慧芽知识产权信息管理系统 get_token_by_account 信息泄露漏洞
命令执行
Arris VAP2500 diag_s.php 命令注入漏洞
文件上传
天地伟业Easy7 uploadCheckImg 文件上传漏洞
数据注入
用友NC NCC文件服务器配置管理 FsConsoleService SQL注入
数据注入
用友NC redeploy SQL注入
数据注入
FortiClient EMSinit_consts 预认证 SQL注入 CVE-2026-21643
任意读写
CROWN REST 接口文件系统访问漏洞 CVE-2026-2330
未授权
福建科立迅通信指挥调度平台 db_backup_download 备份文件未授权下载
任意读写
亿赛通电子文档安全管理系统 DecryptApplication 任意文件读取漏洞
信息泄露
Citrix NetScaler 内存越界读取漏洞 CVE-2026-3055
文件上传
智慧医养综合服务管理平台 InfoUpload 文件上传漏洞
数据注入
汉王e脸通综合管理平台 getAllRecord.do SQL注入
任意读写
畅捷通TPlus FormReportOperateAction.aspx 任意文件读取
弱口令
安科瑞企业微电网能效管理系统默认密码漏洞
数据注入
用友时空KSOA resubject.jsp SQL注入
+ + + + + diff --git a/doc/2026-04/先知通用软件漏洞收集及奖励计划第十一期 正式开始！.md b/doc/2026-04/先知通用软件漏洞收集及奖励计划第十一期 正式开始！.md new file mode 100644 index 00000000..3264b7b4 --- /dev/null +++ b/doc/2026-04/先知通用软件漏洞收集及奖励计划第十一期 正式开始！.md @@ -0,0 +1,51 @@ +# 先知通用软件漏洞收集及奖励计划第十一期 正式开始！ + 阿里安全响应中心 2026-04-07 06:13 + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/fZTVP3UbI7SkEYIxvcRbF6R7rDf19LhEqOA04Bn0QB7TSCSdFhRVPcNZ0BVurmSibMONIvWAhxIBzxicza1kTbia9cVSBYZpelU9wZn2hGoibiao/640?wx_fmt=jpeg&from=appmsg "") + +**先知通用漏洞收集计划及奖励计划第十一期已经正式开始，奖金丰厚，欢迎大家积极参与！** + +**** +**本期活动持续时间：** +**2026年4月8日至2026年4月22日12:00** + +**** +**漏洞提交地址：** +https://xianzhi-next.aliyun.com/ + +登录后，选择通用漏洞第十一期项目进行漏洞提交。 + + +**重要事项：** +- 本期仅收取评级为高危、严重的前台RCE漏洞。 + +- 本期重点收取列表中产品的漏洞，非在本列表中产品的漏洞，审核优先级将降低。 + +- 完整漏洞报告必须通过平台进行提交，不允许通过外链的链接（例如网盘、语雀文档等形式）进行提交与补充。 + +- 请严格按照漏洞提交报告要求以标准 markdown 格式进行提交漏洞报告，若未按格式进行提交默认驳回漏洞，需要按照格式重新提交漏洞 + +- 针对闭源产品漏洞提供先知平台没有的复现环境，漏洞通过后价格上浮 10% + +- 本期活动将于北京时间2026年4月22日结束，逾期不再收取漏洞。 +  + +- 如有相关问题，请加钉钉群：28650038560进行咨询。 + + + +![](https://mmbiz.qpic.cn/mmbiz_gif/tCS9QJPdcGcxoV5FtxxRnrJcePaJ5EOqeGVJziaXEDiahznsBGJGEia30Yt1yr1G2tNRgAehK83xzaaiadGzPDREeg/640?wx_fmt=gif&from=appmsg#imgIndex=1 "") + +**( 通用软件漏洞收集计划 )** + +![](https://mmbiz.qpic.cn/mmbiz_gif/tCS9QJPdcGcxoV5FtxxRnrJcePaJ5EOqeGVJziaXEDiahznsBGJGEia30Yt1yr1G2tNRgAehK83xzaaiadGzPDREeg/640?wx_fmt=gif&from=appmsg#imgIndex=2 "") + + + +为了更好地保障云上用户的安全，提升安全防御能力，阿里云先知专门制定了《通用软件漏洞验收及奖励计划》。该计划旨在通过提供奖励，鼓励白帽子遵循负责任的漏洞披露机制，向我们提供供应链软件的安全漏洞情报。 + +阿里云先知在确认漏洞后，将按照既定流程向您提供现金奖励和荣誉奖励。同时，在遵循中国相关法律的前提下，阿里云先知将漏洞信息反馈给软件开发公司，并与受影响的合作伙伴共享漏洞情报。如果您发现通用软件的漏洞，欢迎您向我们提交，我们将迅速响应并进行处理。 + + + + diff --git a/doc/2026-04/嘶吼安全动态｜工信部NVDB平台发布风险提示：利用苹果iOS漏洞的攻击活动激增 黑客利用React2Shell发起自动化凭证窃取活动.md b/doc/2026-04/嘶吼安全动态｜工信部NVDB平台发布风险提示：利用苹果iOS漏洞的攻击活动激增 黑客利用React2Shell发起自动化凭证窃取活动.md new file mode 100644 index 00000000..4be52630 --- /dev/null +++ b/doc/2026-04/嘶吼安全动态｜工信部NVDB平台发布风险提示：利用苹果iOS漏洞的攻击活动激增 黑客利用React2Shell发起自动化凭证窃取活动.md @@ -0,0 +1,70 @@ +# 嘶吼安全动态｜工信部NVDB平台发布风险提示：利用苹果iOS漏洞的攻击活动激增 黑客利用React2Shell发起自动化凭证窃取活动 +胡金鱼 + 胡金鱼 嘶吼专业版 2026-04-07 06:00 + +![](https://mmbiz.qpic.cn/mmbiz_gif/wpkib3J60o297rwgIksvLibPOwR24tqI8dGRUah80YoBLjTBJgws2n0ibdvfvv3CCm0MIOHTAgKicmOB4UHUJ1hH5g/640?wx_fmt=gif "") +# 嘶吼安全动态 + +**【国内新闻】** + +**国家计算机病毒应急处理中心检测发现71款违法违规收集使用个人信息的移动应用** + +摘要：依据《网络安全法》《个人信息保护法》等法律法规，经国家计算机病毒应急处理中心检测，71款移动应用存在违法违规收集使用个人信息情况，现已进行通报。 + +原文链接：https://www.cverc.org.cn/zxdt/report20260403.htm + +**工信部NVDB平台发布风险提示：利用苹果iOS漏洞的攻击活动激增** + +摘要：近日，工业和信息化部网络安全威胁和漏洞信息共享平台监测发现，有攻击者利用针对苹果公司终端产品的漏洞实施网络攻击活动，可导致信息窃取、系统受控等严重危害。影响范围包括运行iOS 13.0至17.2.1的iPhone、iPad等苹果公司终端产品。 + +原文链接：https://baijiahao.baidu.com/s?id=1861446183160560256&wfr=spider&for=pc + +**智能体“龙虾”（OpenClaw）再曝安全漏洞，存在泄露用户对话隐私风险** + +摘要：开源AI智能体OpenClaw（龙虾）被曝隐私保护缺陷。攻击者可利用特定Prompt诱导智能体跨过隔离权限，导致用户的敏感聊天记录与本地文件路径被非授权调取。 + +原文链接：https://www.21jingji.com/article/20260406/herald/77fac9c75e7805d1448f21a91fae6772.html + +**中国信通院联合腾讯云发布《AI Agent安全实践指引》** + +摘要：中国信通院与腾讯云联合发布《AI Agent安全实践指引》，系统梳理了AI Agent面临的高发风险，并提出“三步走”安全实践路径。 + +原文链接：https://developer.cloud.tencent.com/article/2647950 + +**【国外新闻】** + +**Check Point发布2026年报：AI自动化令网络攻击频率达“天文级”** + +摘要：报告指出，攻击者借助生成式AI已实现攻击准备全自动化。90%的受访组织表示曾遭遇AI相关的安全风险提示，传统防火墙在面对AI瞬时生成的混淆代码时面临严峻挑战。 + +原文链接：https://finance.sina.com.cn/jjxw/2026-04-06/doc-inhtqaaa1225740.shtml + +**Google DeepMind揭秘“AI智能体陷阱”：恶意网页可操纵自主Agent** + +摘要：研究员发现6种针对自主AI智能体的新型攻击。黑客可在网页中植入“AI 陷阱”，当智能体访问网页获取信息时，陷阱会注入恶意上下文，诱导智能体执行窃取数据、分发虚假信息等。 + +原文链接：https://www.securityweek.com/google-deepmind-researchers-map-web-attacks-against-ai-agents/ + +**美国华盛顿州签署HB 2225 法案，对“AI伴侣聊天机器人”正式做出规定** + +摘要：法案赋予个人起诉权，严禁此类AI引导用户产生自残倾向或在未经许可下收集高度敏感的心理情感数据。针对具备“情感连接”功能的AI聊天机器人实施严格监管。 + +原文链接：https://www.hunton.com/privacy-and-cybersecurity-law-blog/washington-state-enacts-law-regulating-ai-companion-chatbots-with-private-right-of-action + +**2026年全球“影子AI”（Shadow AI）治理白皮书发布** + +摘要：CRN 发布AI安全百强名单，重点聚焦于发现员工私自使用的“影子AI”工具。2026年企业安全重心正向AI安全态势管理（AI-SPM）快速转型。 + +原文链接：https://www.crn.com/news/security/2026/the-20-hottest-ai-cybersecurity-companies-the-2026-crn-ai-100 + +**黑客利用React2Shell发起自动化凭证窃取活动** + +摘要：黑客利用Next.js应用程序中的React2Shell (CVE-2025-55182) 漏洞，发起了一场大规模的自动化窃取凭据的活动。至少有766台主机遭到入侵，导致数据库和AWS凭证、SSH私钥、API密钥、云令牌和环境密钥被窃取。 + +原文链接：https://www.bleepingcomputer.com/news/security/hackers-exploit-react2shell-in-automated-credential-theft-campaign/ + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/fHEm7hZn9HJUFuFd8mfiaDDFxknsRrTMQMeV8qAWxVfUcaL1vxQzCZK9sv0eBcrbjgvMib0Cu0rOlLZIDqssIczuYDOPZKkZ5yXIs1Cic6JYAg/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/mmbiz_jpg/fHEm7hZn9HK6ayicboibX7OtIpBKkI2MVdTAUVJaGmZCp8udEEHNTyI4K8RZgsozziaPXpLsqSz2QZNSgDHJt9FFwwdGhPw5uk1IOicykI9avag/640?wx_fmt=jpeg&from=appmsg "") + +