Drupal 7.x Services module unserialize() to RCE Drupal的Services模块因不安全使用`unserialize()`存在严重漏洞，允许攻击者通过构造恶意序列化数据进行权限提升、SQL注入及远程代码执行。该模块作为Drupal的API构建工具，被广泛使用。攻击者可利用该漏洞控制输入输出格式，在未经身份验证的情况下获取管理员权限并执行任意代码。Drupal团队已发布补丁修复此问题，并建议用户更新至最新版本或禁用PHP序列化格式以降低风险。... 2017-3-8 18:20:0 | 阅读: 6 | 收藏 | Lexfo's security blog - blog.lexfo.fr drupal ux php injection

Grails PDF Plugin XXE Grails PDF插件存在XXE漏洞，允许攻击者通过构造恶意请求读取服务器文件或执行命令。该插件已六年未更新，利用其HTML转PDF功能可绕过限制，获取敏感数据并映射内部网络。建议修复XML解析器以阻止XXE，并限制重定向。... 2017-2-21 09:20:0 | 阅读: 7 | 收藏 | Lexfo's security blog - blog.lexfo.fr pdfform bounce attacker grails baseuri

CVE-2016-9838 - Joomla! Account Takeover & Remote Code Execution Joomla!在过去四年中因用户注册模块中的代码问题出现两个高影响漏洞，导致权限提升攻击。攻击者可利用未过滤数据修改用户信息或获取管理员权限。... 2017-1-20 09:20:0 | 阅读: 3 | 收藏 | Lexfo's security blog - blog.lexfo.fr joomla username jform php password1