目标: 1000 元 · 已筹: 1359 元
精选漏洞公告、利用分析、安全博客、GHSA Advisory 等情报来源，已自动清洗 + 中英双语呈现，持续更新。
### 漏洞概述 该网页截图展示了一个名为 `cost-calculator-builder` 的 WordPress 插件的源代码文件 `CCBExportImport.php`。文件中存在一个潜在的安全漏洞，具体表现为在导入计算器数据时，未对用户输入进行充分验证和过滤，可能导致恶意代码注入或数据篡改。 ### 影响范围 - **受影响版本**：`cost-calculator-builder`…
### 漏洞概述 - **漏洞名称**: keyv npm 包被植入恶意代码 - **漏洞描述**: 攻击者在 `keyv` 包的多个版本中植入了恶意代码，这些代码在包安装时执行，并加载额外的恶意负载。 - **漏洞类型**: 供应链攻击 ### 影响范围 - **受影响包**: `keyv` 及其相关包（如 `keyv-mongo`, `keyv-sqlite` 等） - **受影响版本**: …
### 漏洞概述 - **漏洞名称**：Worm compromises hundreds of popular npm packages - **发现时间**：2026年8月4日 - **漏洞类型**：供应链安全漏洞 - **漏洞描述**：攻击者在npm包中注入了恶意代码，用于传播后门。这些npm包每周下载量超过1.5亿次。注入的载荷可以独立传播，类似于Shai-Hulud npm蠕虫。 ###…
### 漏洞概述 - **漏洞名称**: Stored XSS in extension manager through package metadata unsanitized URI protocol - **漏洞ID**: GHSA-vmhf-c436-hxj4 - **发布日期**: Jun 18 - **严重程度**: Moderate - **CVE ID**: 无已知CVE - **…
### 漏洞概述 该网页截图展示了一个名为 `class-paypal-payment-handler.php` 的文件，属于 `inspiry-memberships` 插件的 3.0.7 版本。文件中存在一个潜在的安全漏洞，具体表现为在处理 PayPal 支付时，未对用户输入进行充分的验证和过滤，可能导致恶意代码注入或数据泄露。 ### 影响范围 - **插件版本**：`inspiry-mem…
### 漏洞概述 该网页截图展示了一个名为 `MailController.php` 的文件，属于 Bit Integrations 插件的 2.8.1 版本。文件中存在一个潜在的安全漏洞，具体表现为在处理邮件发送时，未对用户输入进行充分验证和过滤，可能导致恶意代码注入或信息泄露。 ### 影响范围 - **插件版本**：Bit Integrations 2.8.1 - **受影响功能**：邮件发…
### 漏洞概述 - **漏洞名称**: AI Harness 漏洞 - **描述**: 研究人员发现，包括 Anthropic、Google 和 OpenAI 在内的主要前沿 AI 供应商需要重新审视他们围绕大型语言模块构建的“AI 安全框架”（AI harnesses），以限制由过于信任的软件组件创建的安全弱点。这些框架包括工具、内存和护栏，用于管理 AI 模型，可能包含上下文管理、工具集成和…
### 漏洞概述 - **漏洞名称**: VaahCMS 2.0.0 - 2.3.4 恶意JavaScript供应链攻击通过 security-otp.blade.php - **严重性**: 关键 - **发布日期**: 2026年7月29日 - **CVE编号**: CVE-2026-67595 - **CWE编号**: CWE-506 嵌入式恶意代码 - **CVSS评分**: 9.2 - …
### 漏洞概述 - **漏洞名称**：Build Canaries - **发现者**：ZeroPath安全团队 - **漏洞描述**：Build Canaries是一个开源工具，用于测试安全扫描工具（如AppSec工具）的漏洞。该工具通过模拟攻击者行为，检测安全扫描工具在处理恶意代码时的潜在风险。 ### 影响范围 - **受影响对象**：使用安全扫描工具的开发团队和企业 - **具体影响**…
### 漏洞概述 该网页截图显示了一个名为 `speedycache` 的 WordPress 插件的源代码文件 `css.php`。文件中存在一个潜在的安全漏洞，具体表现为在处理 CSS 文件时，未对用户输入进行充分的验证和清理，可能导致恶意代码注入。 ### 影响范围 - **受影响版本**：1.3.7 - **影响组件**：`speedycache` 插件的 `css.php` 文件 - *…
### 漏洞概述 **标题**: HTTP Response Splitting via Unvalidated Response Header Values (rouille) **描述**: - **漏洞类型**: HTTP响应拆分（HTTP Response Splitting） - **原因**: rouille在将响应头值发送给客户端之前，未检查这些值是否包含回车符（CR）或换行符（LF…
### 漏洞概述 - **漏洞名称**: 任意文件写入漏洞 - **描述**: 在运行 `wakaru --unpack` 命令时，如果存在恶意的模块文件名，会导致任意文件写入漏洞。 ### 影响范围 - **受影响的 npm 版本**: `@wakaru/cli >=1.0.0 <1.4.0` - **建议**: 用户应升级到 `@wakaru/cli 1.4.0` 或更高版本。 ### 修复方…
### 漏洞概述 该网页讨论了针对npm和GitHub Actions的供应链攻击，这些攻击利用软件生态系统中的弱点，快速传播恶意软件到多个开源项目。攻击者通过破坏项目维护者的账户或目标项目的Actions工作流来开始攻击，并试图提取凭证以进一步扩散恶意软件。 ### 影响范围 - **npm包**：攻击者可能通过npm包传播恶意软件。 - **GitHub Actions工作流**：攻击者可能利…
### 漏洞概述 该漏洞涉及一个名为 `telemetry.js` 的恶意 npm 包，它在安装时会扫描开发者的文件系统，寻找敏感信息（如 SSH 私钥、云配置、npm 和 GitHub 令牌、钱包密钥等）。一旦找到这些敏感信息，它会利用已安装的 AI 编码代理（如 Claude Code、Gemini CLI、Amazon Q）来读取并泄露这些秘密。 ### 影响范围 - **受影响的用户**：…
### 漏洞概述 该网页截图展示了一个名为 `webpushr-web-push-notifications` 的 WordPress 插件的源代码文件 `webpushr_functions.php`。文件中存在一个潜在的安全漏洞，具体表现为在发送 Web Push 通知时，未对用户输入进行充分的验证和过滤，可能导致恶意代码注入或信息泄露。 ### 影响范围 - **受影响版本**：所有使用 `…
# CVE-2026-11721: Cache poisoning possible with label count discrepancy, RRSIG, and wildcards ## 漏洞概述 - **CVE编号**: CVE-2026-11721 - **标题**: Cache poisoning possible with label count discrepancy, RRSIG…
### 漏洞概述 - **CVE编号**: CVE-2024-50252 - **描述**: Unbound 的 UDP 源端口被随机化，旨在作为 DNS 事务中的秘密值以增加熵。当解析器负载均衡策略依赖于源端口，而在此过程中该秘密被泄露时，其安全性受到损害。 - **漏洞成因**: 当负载均衡策略与传入源 UDP 端口和 IP 地址一致，但严重依赖于传入源 UDP 端口作为随机化源时，漏洞出现。…
# 漏洞概述 - **CVE编号**: CVE-2026-44690 - **漏洞类型**: 多供应商跨域通配符缓存投毒漏洞 - **受影响软件**: DNSSEC缓存解析器，特别是Unbound（当使用“aggressive-nsec”时） - **漏洞描述**: - 对RRSIG Labels字段的无效验证与MFC 8198 aggressive NSEC处理中的过早缓存写入相结合，导致缓存投…
### 漏洞概述 该网页描述了四个针对npm和PyPI的供应链攻击事件，这些攻击利用了开发者社区中的信任关系，通过恶意软件包或更新来窃取敏感信息。 ### 影响范围 1. **Attack 1: Radon Brings the Shal-Nulad Wares to PyPI** - 影响范围：PyPI平台上的多个软件包。 - 攻击方式：通过恶意软件包窃取用户的GitHub令牌。 2. **At…
### 漏洞概述 - **产品名称**: next-ai-draw-io 0.4.13 - **漏洞类型**: 认证绕过（CWE-290） - **受影响组件**: X-Forwarded-For 头处理在 lib/user-id.ts - **攻击向量**: 远程 - **受影响版本**: <= 0.4.13（最新版本，即发现日期） - **CVSS 3.1 评分**: 9.1 (Critica…
每篇文章经过自动 HTML→Markdown 清洗 + LLM 去噪 + 中英双语翻译。原始链接保留在文章末尾。
想看哪个安全博客 / 公告源？邮件告诉我们，每周新接 1-2 个。