且听安全

Zoho ManageEngine ADAudit Plus v7060 以前版本存在认证前 XXE 、JAVA 反序列化和目录穿越漏洞，综合利用可实现远程命令执行。

Atlassian Jira 存在服务端伪造请求漏洞 CVE-2022-26135，该漏洞是由 Mobile Plugin for Jira 组件造成的，可通过 Jira REST API 发送特殊请求，从而发起 SSRF 攻击。

CVE-2022-33980 Apache Commons Configuration 变量差值导致远程命令执行。

在 v3.2.2 版本之前的 Apache CouchDB 中，可以在不进行身份验证的情况下访问不正确的默认安装并获得管理员权限，进而实现 RCE ，漏洞编号 CVE-2022-24706 。

DevExpress 是目前 .Net 下最为强大的完整的一套 UI 控件库。在分析绕过 SerializationBinder 不安全的类型绑定过程中，关注到了 DevExpress CVE-2022-28684 反序列化漏洞。

使用 SerializationBinder 无法完全修复反序列化漏洞隐患。经过深入研究总结了两种不安全 SerializationBinder 限定的绕过方式，下面分享给大家。

开发 WinRAR 的 RarLab 公司研发的 unrar Linux 版本的二进制文件中发现了一个路径穿越漏洞 CVE-2022-30333 ，可以实现任意文件写入。

近日监测到Apache发布公告，修复了Apache Shiro框架中的一个认证绕过漏洞CVE-2022-32532当使用RegexRequestMatcher进行认证配置时，可以通过构造特殊请求绕过正则表达式检查，从而实现认证绕过。

近日Oracle通报了一个反序列化漏洞CVE-2022-21445，未经身份认证的远程攻击者可利用该漏洞实现反序列化操作导致任意代码执行。任何基于ADF Faces框架开发的程序都受到此漏洞的影响，包括Oracle的多个产品。

近日监测到 Apache 发布安全的公告，修复了一个存在于 Apache Flume 中的代码执行漏洞CVE-2022-25167，攻击者可通过发送特制的 JNDI 查找，从而在目标系统上执行任意代码。