xxx9686的博客

提交的请求包中，如果字符串以'zerodium'开头，那么该行将从useragent HTTP标头（“ HTTP_USER_AGENTT”）中执行PHP代码。

浪潮ClusterEngine集群管理平台是专为浪潮天梭系列HPC产品定制的一款作业管理软件，该软件采用B/S架构，通过浏览器（IE，firefox等）进行操作，可以管理集群系统中的软硬件资源和用户提交的作业，根据集群中的资源使用情况来合理的调度用户提交的作业，从而达到提高资源的利用率和作业的执行效率的作用。其4.0版本存在任意命令执行漏洞。攻击者通过发送精心构造的请求包到目标应用程序，将会造成远程命令执行漏洞。甚至获得目标站点的服务器权限。

Jellyfin 是一个免费软件媒体系统。在 10.7.1 版之前的 Jellyfin 中，带有某些终结点的精心设计的请求将允许从 Jellyfin 服务器的文件系统中读取任意文件。当 Windows 用作主机 OS 时，此问题更加普遍。暴露于公共 Internet 的服务器可能会受到威胁。在版本 10.7.1中已修复此问题。解决方法是，用户可以通过在文件系统上实施严格的安全权限来限制某些 访问，但是建议尽快进行更新。

谷歌默认启动沙箱，通过快捷方式关闭沙箱后启动的窗口，需要在该窗口执行。（已测试最新版本依旧存在）

1.最新版微信调用第三方浏览器不行2.旧版本微信条件，需要内置浏览器停留在窗口。3.360拦截微信浏览器触发漏洞。

Coremail的nginx配置文件中针对/lunkr/cache路径做upstream的时候未做X-Forwarded-For字段的设置，从而可以利用该接口实现配合利用nginx不解析;但是tomcat解析;的差异特性实现绕过tomcat的manager应用127.0.0.1本地ip限制。并且coremail默认的tomcat-user为coremail,coremail。访问过去会直接跳转到tomcat控制台，这里你就可以采用coremail/coremail弱口令尝试登陆，或者暴力破解。