国家卫健委：当前，新冠肺炎核酸检测实行愿检尽检的策略，许多无症状感染者不再参加核酸检测，无法准确掌握无症状感染者的实际数量，从今天（2022年12月14日）起不再公布无症状感染者数据。
http://www.nhc.gov.cn/xcs/yqtb/202212/b116e06cd2e847baadf630bc9d9ad2a5.shtml
消息来源: https://t.me/abcthoughts/4642
http://www.nhc.gov.cn/xcs/yqtb/202212/b116e06cd2e847baadf630bc9d9ad2a5.shtml
消息来源: https://t.me/abcthoughts/4642
Forwarded from 凛の碎碎念
v2board数据泄露漏洞复盘：
通过review问题代码发现，问题在于鉴权中间件。
1.6.1版本的token存储方式从session改成了cache，导致作者重写了鉴权代码
新的鉴权代码造成了严重的漏洞
众所周知v2board的管理员信息和用户信息都在user表，仅用is_admin字段区分是否管理员
管理员API的中间件鉴权代码和用户API中间件鉴权代码一模一样，只是多了个is_admin校验。
如图所示中间件首先会检查浏览器提交的token是否在服务器cache，也就是redis中。如果有，直接通过鉴权。
问题就在于这，普通用户在登录后生成的token已经在服务器redis表中，所以将普通用户的token直接提交到管理员相关API接口，即可通过鉴权，没有任何权限校验。
也就是普通用户的token，可以随意调用管理员的API，相当于拥有了完整的管理员后台权限。
https://twitter.com/AyagawaSeirin/status/1603385153480716288
通过review问题代码发现，问题在于鉴权中间件。
1.6.1版本的token存储方式从session改成了cache，导致作者重写了鉴权代码
新的鉴权代码造成了严重的漏洞
众所周知v2board的管理员信息和用户信息都在user表，仅用is_admin字段区分是否管理员
管理员API的中间件鉴权代码和用户API中间件鉴权代码一模一样，只是多了个is_admin校验。
如图所示中间件首先会检查浏览器提交的token是否在服务器cache，也就是redis中。如果有，直接通过鉴权。
问题就在于这，普通用户在登录后生成的token已经在服务器redis表中，所以将普通用户的token直接提交到管理员相关API接口，即可通过鉴权，没有任何权限校验。
也就是普通用户的token，可以随意调用管理员的API，相当于拥有了完整的管理员后台权限。
https://twitter.com/AyagawaSeirin/status/1603385153480716288
Direction的碎碎念
离谱呢 🐑了三天没上tg就被搞 我这种袖珍型频道还有被爆破的一天😂 有必要嘛 我这边曝光量也不大
===== 评论区 =====
易然: 您太惨了
Direction.: (➤易然) 属实没必要呢
找点万人频道不比我这个曝光量高多了嘛😂
易然: 您太惨了
Direction.: (➤易然) 属实没必要呢
找点万人频道不比我这个曝光量高多了嘛😂
VALORANT 国服过审了
https://www.nppa.gov.cn/nppa/contents/318/105810.shtml
*根据信息综合，这个上海纳原是腾讯的皮套公司
消息来源: https://t.me/abcthoughts/4684
https://www.nppa.gov.cn/nppa/contents/318/105810.shtml
*根据信息综合，这个上海纳原是腾讯的皮套公司
消息来源: https://t.me/abcthoughts/4684
Direction的碎碎念
VALORANT 国服过审了 https://www.nppa.gov.cn/nppa/contents/318/105810.shtml *根据信息综合，这个上海纳原是腾讯的皮套公司 消息来源: https://t.me/abcthoughts/4684
===== 评论区 =====
大脸猫: 怎么又有睿智炸评论区啊😅
Direction.: (➤大脸猫) 确实 搞不懂呢
大脸猫: 怎么又有睿智炸评论区啊😅
Direction.: (➤大脸猫) 确实 搞不懂呢
频道现在使用TG默认的群组回复模式。
单击消息可添加表情。
为防止炸频道现象再次出现，
请在评论前加入评论群。
(评论群不使用公开链接)
单击消息可添加表情。
为防止炸频道现象再次出现，
请在评论前加入评论群。
(评论群不使用公开链接)
🔥4😢2👍1🌚1
Forwarded from 追尾游戏热点 (Liao wh)
Xbox Game Pass 2023年1月新增游戏阵容如下，本次似乎没有分前半后半月：
1月19日
· 女神异闻录4 黄金版（主机&PC&云端）
· 女神异闻录3 携带版（主机&PC&云端）
1月20日
· 怪物猎人 崛起（主机&PC&云端）
以下游戏将于1月15日从XGP游戏库中移出：
· 弹丸论破（主机&PC&云端）
· 小人物拯救世界（主机&PC&云端）
· Pupperazzi （主机&PC&云端）
· The Anacrusis（主机&PC&云端）
· 少数幸运儿 | We Happy Few（主机&PC&云端）
· Windjammers 2（主机&PC&云端）
https://news.xbox.com/en-us/2023/01/10/game-pass-january-2023-wave-1-announce/
1月19日
· 女神异闻录4 黄金版（主机&PC&云端）
· 女神异闻录3 携带版（主机&PC&云端）
1月20日
· 怪物猎人 崛起（主机&PC&云端）
以下游戏将于1月15日从XGP游戏库中移出：
· 弹丸论破（主机&PC&云端）
· 小人物拯救世界（主机&PC&云端）
· Pupperazzi （主机&PC&云端）
· The Anacrusis（主机&PC&云端）
· 少数幸运儿 | We Happy Few（主机&PC&云端）
· Windjammers 2（主机&PC&云端）
https://news.xbox.com/en-us/2023/01/10/game-pass-january-2023-wave-1-announce/
Xbox Wire
Coming to Xbox Game Pass: Monster Hunter Rise, Persona 3 Portable, and Persona 4 Golden - Xbox Wire
Welcome to 2023, Game Pass friends! We’re starting off the year with some iconic franchises from beloved Japanese developers whose games will soon be landing with Xbox Game Pass and PC Game Pass. For now, let’s start juicing up our controllers and get our…
Forwarded from DGN (Jieming Zhou)