工具 | TrafficAnalyzer
TrafficAnalyzer是一款面向安全分析、应急响应和流量排查场景的Windows桌面工具。
公众号
浅安安全
已收录 24 篇文章，最近更新于 2026年10月16日 08:02。
漏洞预警 | GitLab远程代码执行漏洞
GitLab存在远程代码执行漏洞，未经身份认证的远程攻击者可通过在CI/CD配置中使用特制正则表达式触发该漏洞，进而在GitLab服务器上执行任意代码。
漏洞预警 | AnyDesk缓冲区溢出漏洞
AnyDesk存在缓冲区溢出漏洞，攻击者可通过构造"极小分配+超长逻辑长度"的错配，将数据越界写入相邻堆对象；结合伪造虚表指针、栈枢轴与ROP链，在目标AnyDesk服务进程内执行任意命令。
工具 | knife
knife是一个解决PE/ELF/Mach-O全格式逆向的工具。
漏洞预警 | vm2沙箱逃逸漏洞
vm2存在沙箱逃逸漏洞，沙箱代码可利用该错误对象回溯到宿主Function构造器，进而获取真实的宿主process对象，从而获得宿主Node.js能力。
漏洞预警 | CraftCMS远程代码执行漏洞
Craft CMS存在远程代码执行漏洞，由于权限验证不当，仅拥有accessCp权限的远程已认证非管理员用户能够以PHP Web工作进程身份执行操作系统命令，进而导致远程命令执行。
工具 | Atlas
Atlas是一个桌面AI渗透测试Agent。
漏洞预警 | Metabase SQL注入漏洞
Metabase的/api/session/reset_password接口存在SQL注入漏洞，未经验证的攻击者可通过该漏洞向Metabase应用数据库注入任意SQL语句，从而可能获取管理员访问权限，进而修改应用配置、获取已连接数据库中存储的凭据、访问数据库可读取的数据以及导出相关数据。
漏洞预警 | Langflow远程代码执行漏洞
Langflow存在远程代码执行漏洞，由于其默认启用AUTO_LOGIN=True，任意攻击者可通过/api/v1/auto_login接口获取超级用户令牌，进而向/api/v1/validate/code接口提交任意Python代码，从而完全接管并控制目标服务器。
工具 | mithril
mithril是一款IoT固件分析工具。
漏洞预警 | PostgreSQL符号链接跟随漏洞
PostgreSQL存在符号链接跟随漏洞，在解包tar备份时，若归档中存在指向绝对路径的符号链接，程序会跟随该链接进行写入，而非拒绝或限制路径。攻击者可通过构造恶意备份归档，诱导备份过程将文件写入目标系统的任意位置。
漏洞预警 | Telegram Desktop IPC记录注入漏洞
Telegram Desktop存在IPC记录注入漏洞，攻击者构造含分号的链接可注入任意OPEN:记录，进而使其按指令文件把指定本地文件上传到攻击者指定的频道或超级群组，造成本地任意文件读取与账号接管。
工具 | Claude-Red
Claude-Red是一套开源的Claude渗透测试技能包。
漏洞预警 | Handlebars.js原型链绕过漏洞
Handlebars.js存在原型链绕过漏洞，攻击者将整个恶意Program AST挂载到传入compile()的对象的原型上，即可令校验器看到“空对象”而跳过，编译器却照常读取并执行恶意字段。
漏洞预警 | Atlassian任意文件读取漏洞
Atlassian存在任意文件读取漏洞，未经验证的攻击者可通过构造特殊路径的请求，获取Web应用目录下的敏感文件，进而实现权限提升、账户接管或横向移动。
工具 | dsh-redteam-model
dsh-redteam-model是基于dsh web实现的九个redteam安全研究工作模式及其运行时插件。
漏洞预警 | Next.js远程代码执行漏洞
Next.js存在远程代码执行漏洞，当应用将攻击者可控制的数据写入SVG内容、属性或样式时，上游组件Satori在序列化SVG时未正确转义，导致注入payload逃逸到嵌入式SVG文档内部，进而执行任意命令。
漏洞预警 | Citrix NetScaler命令注入漏洞
Citrix NetScaler存在命令注入漏洞，攻击者可通过未认证接口将特制字符串写入系统日志，待该脚本处理日志时以root权限执行任意命令。
工具 | ASC
ASC是一款用来进行Android逆向的工具。
漏洞预警 | WordPress编码绕过漏洞
WordPress存在编码绕过漏洞，未经验证的攻击者配合双重URL编码即可让get_page_template()加载任意PHP文件，在register_argc_argv=On且pearcmd.php可读的环境下还能升级为RCE。