【CMS Strapi：攻击者可利用漏洞接管Admin帐户等权限】

【CMS Strapi：攻击者可利用漏洞接管Admin帐户等权限】 4月23日消息，慢雾研究员 IM_23pds 发推表示，开源无头 CMS Strapi 发布安全提醒，攻击者可以利用已知漏洞接管 Admin 账户或 RCE 接管服务器权限。虚拟货币行业有大量项目方使用此产品，请立即升级。

窃取用户隐私的拼多多，拿到了黑客奥斯卡提名

窃取用户隐私的拼多多，拿到了黑客奥斯卡提名 近日，素有“全球白帽黑客奥斯卡”之称的网络安全奖项Pwnie Awards揭榜了2023年度的各大奖项提名。在今年的奖项提名中，有Best Desktop Bug、Best Mobile Bug、Most Innovative Research、Lamest Vendor等30项通过筛选获得提名，其中“Lamest Vendor”中文译为“最差厂商奖”，也是每一年Pwnie Awards最受关注的一个奖项。 “最差厂商奖”旨在颁发给行业内那些面对安全事件、安全问题掩耳盗铃混淆是非，或闹出大乌龙的公司。2023年度Pwnie Awards的“最差厂商奖”提名花落“拼多多”，被提名的理由是：“拼多多因在自己App中植入无可辩驳的后门来窃听用户而被Google踢出安卓应用市场。在被包括在内的多家媒体和安全公司曝光后，拼多多不仅拒不承认，还反而指责Google的处罚，但却私下迅速将恶意代码悄悄删除并解散了木马团队。”该颁奖仪式将在 8 月 9 日举行，拼多多最终能否拿到“最差厂商奖”，我们也拭目以待。 事实上，2023年3月，拼多多APP因安全问题被Google Play下架的新闻曾被CNN等国外媒体报道，Twitter上也有大量讨论，但是在国内却鲜有报道。 此外，前不久《财经》公众号发布了一篇文章《4年超2000款App因侵犯个人信息违规，有一家公司从未被点名》，这篇文章对2019年以来工信部通报批评过的APP做了统计，发现“四年来，阿里巴巴、字节跳动、腾讯、百度、京东、美团、网易、快手等头部互联网公司均有产品被点名。主要的互联网平台公司中，仅有拼多多从未被点名通报。” 这也引发了业界广泛热议。为何在国外被证明存在“后门”，被Google Play下架，又被媒体报道的拼多多在国内却拥有“金刚不坏之身”呢？ 磐石之心（原文已被删除）

@onlychigua 近日微博爆料，国产电商巨头 #拼多多 的安卓版本APP利用系统漏洞进行提权，违规收集用户各种敏感数据，窃

@onlychigua 近日微博爆料，国产电商巨头 #拼多多 的安卓版本APP利用系统漏洞进行提权，违规收集用户各种敏感数据，窃取竞争对手软件数据等(pic 1)。 该App 利用 Android 系统漏洞提升权限，收集用户的隐私信息（社交媒体、位置、Wi-Fi 、基站路由器等）之后，改写系统关键配置文件为自身保活，修改用户桌面配置隐藏自身或欺骗用户实现防卸载；劫持其他应用，进行长期驻留等操作 该安卓APP被发现利用漏洞后，昨天出动公关团队在微博上删帖，同时还火速发布新版本删除了后门模块(pic 2)。 原文链接 「 深蓝洞察 」2022 年度最“不可赦”漏洞 https://mp.weixin.qq.com/s/P_EYQxOEupqdU0BJMRqWsw 提权代码 https://github.com/davinci1010/pinduoduo_backdoor