不安全

CrushFTP 存在严重漏洞（CVE-2025-54309），CVSS 评分 9.0 分。该漏洞允许远程攻击者通过 HTTPS 获取管理员权限。攻击者利用 AS2 验证问题，在未使用 DMZ 代理功能时发起攻击。CrushFTP 已发布检测指标和缓解措施。该软件广泛用于政府、医疗和企业环境，管理敏感文件传输。过去一年中多次成为高级威胁活动目标。

当前环境异常，需完成验证后继续访问。

当前环境出现异常状态，需完成验证后方可继续访问系统或服务。

当前环境出现异常，需完成验证后方可继续访问。

Stripe强制要求所有发票包含邮箱地址，导致客户直接联系公司而非通过支持门户提问，增加负担并延迟响应。作者建议创建别名并自动回复支持链接解决问题，并呼吁Stripe改进此问题。

一个黑客社区欢迎新手加入，提供问答和学习平台，帮助成员从新手成长为资深人士。社区通过Discord进行交流，并提供在线支持。

作者因ChatGPT无法提供技术帮助而开发了自己的AI助手Syd，运行于本地硬件且无过滤器。Syd整合了PayloadsAllTheThings、HackTricks等资源及工具，支持生成C2分发器、Sliver payload等复杂任务。该助手主要用于教育和红队训练。

Intelbras路由器的网络管理界面存在多个安全漏洞，包括跨站脚本（XSS）攻击和未认证访问问题。这些漏洞可能使攻击者获取管理员权限、控制设备或窃取敏感配置信息。

一个开放的黑客社区，帮助新手成长为老手，鼓励提问、回答和学习，并通过Discord进行在线交流。

这是一个面向黑客的开放社区，旨在帮助新手成长为资深人士。用户可以在此提问、解答和学习地下技能，并通过 Discord 进行交流。

这篇文章介绍了多个技术主题，包括加密货币增长、云存储优化、AI网络抓取工具、数据库迁移、云备份简化以及机器经济对经济的影响等内容。

AI生成虚假漏洞报告泛滥，导致开源项目和安全研究陷入无意义信息的困境。

Daniel Stenberg警告称，AI生成的虚假漏洞报告正涌入开源项目，威胁网络安全研究。作为curl工具的维护者，他指出这些"幻觉漏洞"不仅无用，反而有害。HackerOne等平台依赖安全研究员发现真实漏洞以获得奖励，但AI生成的虚假报告正在扰乱这一过程。

文章介绍了域名解析系统（DNS）的作用及其潜在风险—— DNS中毒。 DNS将域名转换为IP地址以访问网站。然而，黑客可能通过篡改DNS记录将用户引导至恶意网站进行诈骗或其他攻击活动。

本文介绍了一个用于处理NTLMv2哈希的Python脚本，该脚本通过提示用户输入输出文件路径，读取并解析包含用户名、域和哈希值的文本文件，提取有效的32字符NTLM哈希并写入目标文件。该工具简化了渗透测试中的 credential dump 处理流程。

作者在公共教育网站上发现一个包含大量敏感内部数据的JavaScript文件，包括机密信息、CI/CD配置、员工邮箱等，并指出这些数据不应公开。这展示了常见但危险的安全漏洞及其潜在风险。

在一次网络 reconnaissance 中，作者发现了一个包含敏感内部数据的 JavaScript 文件。该文件暴露了硬编码密钥、CI/CD 信息、内部链接、员工邮箱等机密内容。这种情况比想象中更常见且危险，提醒人们注意识别和保护此类信息。

作者在浏览网站时意外发现其暴露在公共JavaScript文件中的AWS凭证和其他敏感信息,指出开发者常忽视此类配置错误带来的安全隐患。

作者发现某网站公开的JavaScript文件中包含API密钥、数据库凭证等敏感信息，并指出这是常见且危险的安全漏洞。

GitHub在用户名更改后会自动重定向链接，但一旦旧用户名被其他人注册，链接将失效或指向他人仓库。作者开发了一个扫描器检测此类漏洞，并利用其发现多个高危问题并获得赏金。此漏洞仍存在，需持续关注。