目标: 1000 元 · 已筹: 1359 元
精选漏洞公告、利用分析、安全博客、GHSA Advisory 等情报来源，已自动清洗 + 中英双语呈现，持续更新。
### 漏洞概述 该网页截图展示了一个名为 `woo-stripe-payment` 的 WordPress 插件的源代码文件 `controllers.js`。文件中存在一个潜在的安全漏洞，具体表现为在处理支付流程时，未对用户输入进行充分验证和过滤，可能导致恶意代码注入或数据泄露。 ### 影响范围 - **受影响版本**：4.0.14 - **影响组件**：`controllers.js` 文…
### 漏洞概述 该网页截图展示了一个名为 `speedycache` 的 WordPress 插件的源代码文件 `cache.php`。文件中存在一个潜在的安全漏洞，具体表现为在缓存处理过程中未对用户输入进行充分验证和清理，可能导致信息泄露或恶意代码注入。 ### 影响范围 - **受影响版本**：1.4.2 及更早版本 - **影响平台**：使用 `speedycache` 插件的 WordP…
### 漏洞概述 该漏洞涉及WordPress插件“expivi”中的多个安全问题，主要包括： 1. **Base64编码图像数据URI的验证问题**：在`class-core-functions.php`文件中，`xpv_sanitize_image_data_uri`函数未能正确验证Base64编码的图像数据URI，可能导致恶意代码注入。 2. **PDF配置中的XSS漏洞**：在`class…
### 漏洞概述 该网页截图展示了一个名为 `advanced-form-integration` 的 WordPress 插件的源代码文件 `cf7.php`。文件中存在一个潜在的安全漏洞，具体表现为在处理 Contact Form 7 提交时，未对用户输入进行充分验证和清理，可能导致恶意代码注入或数据泄露。 ### 影响范围 - **插件版本**：2.1.0 - **受影响功能**：Conta…
### 漏洞概述 在 `tinacms` 项目中，当分支名称中包含引号时，生成的客户端代码可能会注入恶意代码。这是因为生成的客户端代码使用字符串插值，并且值被放置在引号之间。如果分支名称中包含引号，会导致字符串提前结束，后续内容被当作代码执行。 ### 影响范围 - **受影响组件**：生成的客户端代码（`codegen/index.ts` 和 `codegen/codegen/plugin.ts…
### 漏洞概述 - **漏洞编号**: GO-2026-6601 - **发布日期**: 2026年10月8日 - **描述**: 该漏洞涉及一个恶意的Go项目，该项目定义了一个假的 `golang.org/x/tools` 模块，并操作一个恶意的 `GOMODPROXY` 用户选择连接的模块，以在其位置提供任意模块。现在，我们解包了用于捆绑 `golang.org/x/tools` 模块的受信…
根据提供的网页截图，以下是关于 **TWINGUARD-LITE** 漏洞的关键信息总结： --- ### 漏洞概述 **TWINGUARD-LITE** 是一个基于规则的网关，旨在保护生成式患者数字孪生（Patient Digital Twins, PDTs）免受恶意注入攻击。该网关通过三项检查（溯源检查、矛盾检查、命名空间检查）来确保患者数据的完整性和一致性。 ### 影响范围 - **患者数…
### 漏洞概述 - **漏洞名称**: Shai-Hulud 恶意软件 - **漏洞描述**: 一个名为 `tensorlake` 的 npm 包（版本 0.5.144）被恶意篡改，包含 Shai-Hulud 恶意软件。该恶意软件包含一个以太坊合约地址，与一个包含 12.44 美元加密货币的钱包相关联。 - **影响**: 该恶意软件使用新的公钥，可能表明是独立的威胁行为者或新团伙使用 Shai…
### 漏洞概述 该网页主要讨论了Web3技术在云供应链攻击中的演变。攻击者利用Web3（也称为Web 3.0或去中心化区块链网络）升级了他们的命令和控制（C2）基础设施，从使用硬编码在恶意软件二进制文件中的静态C2端点，转向使用Web3驱动的智能合约。这使得攻击者能够动态更新整个僵尸网络和蠕虫网络基础设施，并通过单个智能合约交易进行更新。 ### 影响范围 - **供应链攻击**：根据2026年…
### 漏洞概述 该漏洞涉及Smarty模板引擎中的缓存机制，具体为`nocache-marker`伪造导致的缓存投毒远程代码执行（RCE）漏洞。攻击者可以通过构造特定的模板输出，利用Smarty的缓存机制注入恶意PHP代码，并在后续请求中执行。 ### 影响范围 - **受影响版本**：Smarty模板引擎的特定版本（具体版本未明确列出，但修复补丁已提交）。 - **影响场景**：使用Smart…
### 漏洞概述 - **漏洞名称**: Cloak AES-CTR cipher lacks ciphertext authentication, allowing chosen-plaintext forgery by bit flipping - **CVE编号**: CVE-2026-95105 - **发布日期**: 2026-10-06 - **更新日期**: 2026-10-06 -…
### 漏洞概述 该网页截图展示了一个名为 `PostmanWpMail.php` 的 PHP 文件，属于 WordPress 插件 Postman 的一部分。文件中存在一个潜在的安全漏洞，具体表现为在处理邮件发送时，未对用户输入进行充分验证和过滤，可能导致恶意代码注入或信息泄露。 ### 影响范围 - **受影响版本**：Postman 插件版本 3.9.5 及之前版本。 - **影响组件**：…
### 漏洞概述 该网页截图展示了一个名为 `PostmanEmailLogService.php` 的文件，属于 Postman 插件的一部分。文件中存在一个潜在的安全漏洞，具体表现为在处理邮件日志时，未对用户输入进行充分的验证和过滤，可能导致信息泄露或恶意代码注入。 ### 影响范围 - **受影响版本**：Postman 插件 3.9.5 版本。 - **影响用户**：使用 Postman …
### 漏洞概述 **标题**: Scale-out disaggregated multimodal transport trusts caller-supplied features — shared EngineCore denial of service, encoder-cache poisoning, and transport integrity loss (5 sites) **描…
# CVE-2026-102262 ## 漏洞概述 Newell Brands DYMO ID 1.5.1.71 存在路径遍历漏洞，攻击者可以通过将恶意模块/DLL 文件存储在作业文件旁边，当受害者点击该文件时，将进程工作目录设置为作业文件的文件夹，从而导致代码执行。 ## 影响范围 - **受影响版本**: 1.5.1.71 之前 - **修复版本**: 1.6.0 ## 修复方案 升级到版本 …
# 漏洞概述 **标题**: Cache poisoning via unvalidated image layer DiffIDs **CVE ID**: CVE-2025-9318 **CVSS 评分**: 7.5 / 10 (High) **发布日期**: 5 days ago **报告者**: tonistiqi **仓库**: moby/buildkit --- ## 影响范围 - **…
### 漏洞概述 - **漏洞标题**: [Build-Time RCE via Insecure Dependency Download] in [laradock] $(date -u) id: $(uname -a) pwd: $(pwd); export BACKDOOR=yes" >> /tmp/bashrc echo "PWNED.txt 2>&1 echo 'configure: c…
### 漏洞概述 该网页截图展示了一个名为 `cmb2` 的 WordPress 插件的源代码文件 `CMB2_Sanitize.php`。文件中存在一个潜在的安全漏洞，具体表现为在处理用户输入时，未正确过滤和验证数据，可能导致恶意代码注入或数据泄露。 ### 影响范围 - **受影响版本**：该漏洞存在于 `cmb2` 插件的 `2.13.0` 版本中。 - **影响功能**：主要影响插件中的字…
### 漏洞概述 该网页截图展示了一个名为 `jetformbuilder` 的插件的源代码文件 `form-handler.php`。文件中存在一个潜在的安全漏洞，具体表现为在处理表单提交时，未对用户输入进行充分的验证和过滤，可能导致恶意代码注入或数据泄露。 ### 影响范围 - **受影响版本**：3.6.2.2 及之前版本 - **影响组件**：`jetformbuilder` 插件的 `f…
### 漏洞概述 该漏洞涉及 `autoptimize` 插件的多个文件，主要问题在于对 CSS 和 JavaScript 文件内容的处理不当，可能导致潜在的安全风险。具体包括： 1. **CSS 文件内容处理**：在处理 CSS 文件内容时，未正确验证和清理输入，可能导致恶意代码注入。 2. **JavaScript 文件内容处理**：在处理 JavaScript 文件内容时，同样存在未正确验证…
每篇文章经过自动 HTML→Markdown 清洗 + LLM 去噪 + 中英双语翻译。原始链接保留在文章末尾。
想看哪个安全博客 / 公告源？邮件告诉我们，每周新接 1-2 个。