密码管理工具 KeePass 已推出 2.53.1 版本，修复了允许攻击者导出数据库明文的漏洞

密码管理工具 KeePass 已推出 2.53.1 版本，修复了允许攻击者导出数据库明文的漏洞 KeePass 2.53.1 版本中去除了“策略”选项卡中，“导出不重复输入密码”的选项。目前，任何导出操作都必须再次输入当前密码库的主密码来确认。 通过篡改用户硬盘上的 KeePass XML 配置文件，并注入恶意触发器的攻击手段已不再有效。

密码管理软件KeePass出恶性漏洞

密码管理软件KeePass出恶性漏洞 近日，开源密码管理软件KeePass就被爆出存在恶性安全漏洞，攻击者能够在用户不知情的情况下，直接以纯文本形式导出用户的整个密码数据库。据悉，KeePass采用本地数据库的方式保存用户密码，并允许用户通过主密码对数据库加密，避免泄露。 但刚刚被发现的CVE-2023-24055漏洞，能够在攻击者获取写入权限之后，直接修改KeePass XML文件并注入触发器，从而将数据库的所有用户名和密码以明文方式全部导出。 这整个过程全部在系统后台完成，不需要进行前期交互，不需要受害者输入密码，甚至不会对受害者进行任何通知提醒。目前，KeePass官方表示，这一漏洞不是其能够解决的，有能力修改写入权限的黑客完全可以进行更强大的攻击。

重要: 闲蛋面板疑似出现重大漏洞，攻击者可获取管理员账号进行资金提现及导出服务端全部配置和相关服务器详细信息

重要: 闲蛋面板疑似出现重大漏洞，攻击者可获取管理员账号进行资金提现及导出服务端全部配置和相关服务器详细信息 漏洞原理: 登录后闲蛋面板直接返回了相关用户的登录信息，包括邮箱及明文密码，普通用户访问特定链接通过查阅 userType:0 即可获取管理员账号及加密密码，登录后与管理员权限相同，可执行全部操作，包括进行支付提现和导出配置数据 注意:管理员密码仅用 MD5 转换一遍，安全级别低，攻击者碰撞成本较低 处置建议: 无，建议关机到发布修复补丁 利用难度: 一般，无特殊环境要求 使用情况: 已出现在野利用 勘误补充: MD5 不是加密算法,因为它不涉及密钥的使用,也不会对原始数据进行加密处理,而是将数据压缩成固定长度的摘要值,常用于数据完整性校验和数字签名等场景。

#苹果紧急推送 iOS 18.3.2，修复 WebKit 安全漏洞

#苹果紧急推送 iOS 18.3.2，修复 WebKit 安全漏洞 2025 年 3 月 12 日，苹果紧急发布 iOS 18.3.2 更新，修复 WebKit 组件中的 重大安全漏洞。该漏洞最早可追溯至 iOS 17.2，可能被恶意网页利用，以突破 网页内容沙箱，影响用户设备的安全。 适用于机型： • iPhone XS 及更新机型 • iPad Pro 13 英寸 • iPad Pro 12.9 英寸（第三代及更新机型）等 漏洞影响： 苹果表示，该漏洞可能已被用于针对 iOS 17.2 及更早版本的特定用户进行复杂攻击。攻击者可借助恶意网页 绕过系统保护机制，执行未经授权的操作。 修复措施： 此次更新 改进了检查机制，修复了越界写入问题，以防止未经授权的访问。苹果建议 #所有受支持设备的用户尽快更新，避免潜在安全风险。 #新闻 #曝光 #跑路 #东南亚 全网曝光@RJJJJ 聊天大群@DDDDA 灰产新闻@xinwenDD

谷歌“快速分享”出现安全漏洞 新版本已修复

谷歌“快速分享”出现安全漏洞 新版本已修复 谷歌警告其“快速分享” (Quick Share) 软件中存在两处安全漏洞。这些漏洞影响 Android 和 Windows 版本，可能允许攻击者在未经用户同意的情况下向 Windows 计算机发送数据。漏洞 (CVE-2024-38272) 的 CVSS 评分为 7.1，允许攻击者绕过 Windows 版“快速分享”中的文件接受对话框。通常，当设置为“接收所有人”或“接收联系人”模式时“快速分享”需要用户确认才能接收文件。然而，这个漏洞使攻击者能够绕过这个安全措施。第二个漏洞 (CVE-2024-38271) 的 CVSS 评分为 5.9，可使恶意行为者能够在数据传输过程中充当中间人。谷歌目前已在“快速分享”最新版本 1.0.1724.0 中修复了这些漏洞。 、

重要: 宝塔 WAF 防火墙存在未授权访问漏洞，攻击者可通过漏洞访问后台API

重要: 宝塔 WAF 防火墙存在未授权访问漏洞，攻击者可通过漏洞访问后台API 最近在V2EX上有用户报告发现了一个关于宝塔 WAF 的未授权访问漏洞。这个漏洞允许未经授权的用户绕过登录验证，无视宝塔的随机登录地址，直接访问宝塔后台的某些API，实现远程控制 漏洞原理： 这个漏洞存在于/cloud_waf/nginx/conf.d/waf/public/waf_route.lua文件中，通过检查源代码可以发现，只要请求满足特定的IP和域名条件，就可以无需登录直接访问后台API，通过特定的HTTP请求头配置，攻击者可以模拟来自127.0.0.1的请求，并将Host头设置为127.0.0.251，从而绕过宝塔的访问控制。这种方式允许攻击者执行包括获取已拉黑IP列表、解封IP、删除所有日志等多种操作。 注：这表明宝塔WAF的核心防护功能存在严重的安全设计缺陷。 安全建议： 1. 宝塔用户应该立即检查自己的系统，看是否存在被这个漏洞利用的迹象。 2. 关注宝塔官方的通告和更新，及时安装最新的安全补丁。 3. 考虑采取额外的安全措施，比如使用第三方的安全工具来增强WAF的防护能力。 注：用户卸载 WAF 也可避免该问题 参考消息：