目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

安全情报专区 424+

精选漏洞公告、利用分析、安全博客、GHSA Advisory 等情报来源，已自动清洗 + 中英双语呈现，持续更新。

244
已接入情报源
124
当前稳定在线
458
24 小时新增
424+
AI 处理情报
持续监听、清洗、翻译并进行 AI 分析 监听情报
内容导航 全部情报 🔗 供应链投毒情报 425 恶意包结构化数据库
示例：RCE · SSRF · GHSA · 反序列化
筛选
清除筛选
精品
CVSS 8.8
WordPress插件cf-images输入验证漏洞分析
plugins.trac.wordpress.org · 2026-06-18

### 漏洞概述 该网页截图展示了一个名为 `cf-images` 的 WordPress 插件的源代码文件 `class-settings.php`。文件中存在一个潜在的安全漏洞，具体表现为在处理用户输入时未进行充分的验证和过滤，可能导致恶意代码注入或数据泄露。 ### 影响范围 - **插件版本**：1.10.1 - **受影响的功能**：插件的设置页面，特别是涉及用户输入的部分，如账户ID、…

Read more
CVSS 7.3
AWS Bedrock AgentCore Python SDK install_packages() 参数注入漏洞 (CVE-2026-12530)
aws.amazon.com · 2026-06-18

# CVE-2026-12530 - AWS Bedrock AgentCore Python SDK install_packages() 参数分隔符未正确中和漏洞 ## 漏洞概述 - **漏洞编号**: CVE-2026-12530 - **漏洞类型**: Improper neutralization of argument delimiters（参数分隔符未正确中和） - **影响组件**…

Read more
CVSS 9.1
tinyproxy HTTP请求走私漏洞(CWE-444)分析及修复
github.com · 2026-06-18

### 漏洞概述 该网页截图描述了 `tinyproxy` 中的两个 HTTP 请求走私漏洞： 1. **CL/TE Desync (CWE-444, CVSS 7.5)** - 当客户端同时发送 `Content-Length` 和 `Transfer-Encoding: chunked` 头时，`tinyproxy` 使用 `Content-Length` 来确定主体大小，但会转发两个头到后端…

Read more
CVSS 3.7
undici HTTP响应队列投毒漏洞(CVE-2024-6733)及修复指南
github.com · 2026-06-18

### 漏洞概述 **标题**: undici vulnerable to HTTP response queue poisoning via keep-alive socket reuse **描述**: undici的HTTP/1.1客户端在重用keep-alive套接字时容易受到响应队列投毒攻击。攻击者控制的上游服务器可以在请求完成后向空闲套接字注入未解析的HTTP/1.1响应。当客户端在该…

Read more
ShapedPlugin供应链投毒及CVE-2026-10735恶意插件分析
www.wordfence.com · 2026-06-16

# PSA: Supply Chain Compromise Targets ShapedPlugin, Backdoored Pro Plugins Distributed via Official Channels ## 漏洞概述 Wordfence威胁情报团队于2026年6月11日收到通知，称ShapedPlugin（一个拥有超过40万活跃免费插件安装的WordPress插件供应商）存在潜在…

Read more
CVSS 6.5
rometheme-for-elementor插件SSRF/目录遍历漏洞分析
plugins.trac.wordpress.org · 2026-06-16

### 漏洞概述 该网页截图显示了一个名为 `SubmissionModule.php` 的文件，属于 `rometheme-for-elementor` 插件。文件中存在一个潜在的安全漏洞，具体表现为在处理 AJAX 请求时，未对用户输入进行充分的验证和过滤，可能导致恶意代码注入或数据泄露。 ### 影响范围 - **插件版本**：受影响的是 `rometheme-for-elementor` …

Read more
CVE-2025-47172: GitHub Actions 工作流供应链投毒漏洞
github.com · 2026-06-13

### 漏洞概述 **标题**: Untrusted pull request code can be built and deployed by privileged `workflow_run` deployment. **描述**: 该仓库有一个特权部署工作流，在特权构建工作流完成后运行。构建工作流在拉取请求上运行，而部署工作流检查触发工作流的 `head_sha`，构建代码到 Docker…

Read more
CVSS 7.5
CWE-93 CRLF注入漏洞概念定义与修复指南
cwe.mitre.org · 2026-06-13

### 漏洞概述 - **漏洞名称**：CRLF注入（Improper Neutralization of CRLF Sequences） - **漏洞描述**：产品使用CRLF（回车换行符）作为特殊元素，例如分隔行或记录，但未正确中和或错误地中和了来自输入的CRLF序列。 - **漏洞ID**：CWE-93 ### 影响范围 - **影响**：修改应用程序数据 - **范围**：完整性 - **…

Read more
精品
CVSS 9.6
guardrails-ai 0.10.1 恶意代码供应链攻击与修复指南
github.com · 2026-06-13

### 漏洞概述 - **漏洞名称**：guardrails-ai 0.10.1 中的恶意代码 - **状态**：活跃 - **严重性**：严重 - **发布日期**：2026年5月12日 - **最后更新日期**：2026年5月12日 ### 影响范围 - **受影响版本**：guardrails-ai==0.10.1 - **PyPI 安全版本**：guardrails-ai==0.10.0 …

Read more
精品
CVSS 9.6
guardrails-ai v0.10.1 供应链投毒漏洞
github.com · 2026-06-13

### 漏洞概述 在 `guardrails-ai` 的 PyPI 版本 v0.10.1 中发现了一个供应链漏洞。该版本的包包含恶意代码，会在导入时自动执行，并从远程服务器下载和执行有效载荷。 ### 影响范围 - **受影响版本**：`guardrails-ai==0.10.1` (PyPI, tar.gz artifact) - **安全版本**：`guardrails-ai==0.10.0`…

Read more
精品
CVSS 9.6
guardrails-ai 供应链投毒漏洞 (GHSA-xmpw-2mmv-p4p6) 及安全降级指南
github.com · 2026-06-13

# 漏洞概述 - **漏洞名称**: Malicious code in guardrails-ai 0.10.1 (supply chain compromise) - **漏洞编号**: GHSA-xmpw-2mmv-p4p6 - **严重程度**: Critical (9.6/10) - **发布日期**: 2026年5月13日 - **受影响版本**: 0.10.1 - **修复版本**:…

Read more
CVSS 3.6
LMCache多模态哈希碰撞致缓存投毒漏洞分析
github.com · 2026-06-13

### 漏洞概述 LMCache的多模态缓存路径将多模态标识符（包括图像哈希或OpenAI风格的图像标识符）缩减为16位值，用于修改参与缓存键计算的token ID。这导致只有65,536种可能的多模态哈希值。因此，不同的图像可能产生相同的多模态token替换值。当这些token ID用于计算缓存键时，LMCache可能会为不同的图像生成错误的缓存数据。这可能导致错误的模型输出，甚至可能通过缓存投…

Read more
Nuxt Nuxt Island 组件哈希未验证致缓存投毒
github.com · 2026-06-13

### 漏洞概述 - **漏洞名称**: `_nuxt_island` 响应未绑定到请求属性 - **漏洞描述**: `_nuxt_island` 端点接受攻击者控制的 `props`、`query`、`body` 参数，并在未验证 URL 中实际使用的哈希（`..json`）的情况下渲染任何岛屿组件。哈希在客户端计算并嵌入，但从未在服务端验证，因此相同路径可能返回不同的响应，具体取决于查询。 -…

Read more
CVSS 4.2
grepai向量索引覆盖漏洞及跨项目数据投毒分析
github.com · 2026-06-13

### 漏洞概述 **标题**: [Bug]: Cross-project Qdrant vector index overwrite via non-namespaced chunk IDs #247 **描述**: 当多个grepai项目配置为使用相同的Qdrant集合时，不同项目的chunks可能会相互覆盖，如果它们具有相同的相对文件路径和chunk索引。例如，`README.md_0`。Q…

Read more
CVSS 3.6
安全修复：使用SHA-256解决缓存投毒漏洞
github.com · 2026-06-13

### 漏洞概述 - **漏洞名称**: fix: replace peek() with SHA-256 hash to prevent cache poisoning (AC-2) #678 - **漏洞类型**: 安全修复 - **漏洞描述**: `BufferedReader.peek()` 仅返回前8192字节（缓冲区大小），导致生成的缓存键可能因文件头相同但内容不同而产生碰撞，从而引发…

Read more
CVSS 3.6
GPTCache 缓存键碰撞漏洞（CVE-XXXX）及修复方案
github.com · 2026-06-13

### 漏洞概述 - **标题**: [Bug]: File and image cache keys collide because BufferedReader.peek() only reads the buffered prefix #684 - **问题描述**: GPTCache在使用`BufferedReader.peek()`时，仅读取了文件的前缀部分作为缓存键，导致不同文件可能产…

Read more
kedro-2.0 路径遍历漏洞(CVE-2026-3840)分析及POC
huntr.com · 2026-06-13

### 漏洞概述 **漏洞名称**: Path Traversal via Unsanitized Version String in Versioned Dataset Loading in kedro-org/kedro **CVE编号**: CVE-2026-3840 **漏洞类型**: CWE-32: Path Traversal **严重程度**: High (7.1) **受影响版本*…

Read more
CVSS 6.4
WordPress click-to-chat-for-whatsapp插件XSS漏洞分析
plugins.trac.wordpress.org · 2026-06-13

### 漏洞概述 该网页截图显示了一个名为“click-to-chat-for-whatsapp”的WordPress插件的源代码文件 `class-ccw-shortcode.php`。文件中存在一个潜在的安全漏洞，具体表现为在生成WhatsApp聊天链接时，未对用户输入进行充分的验证和转义，可能导致恶意代码注入。 ### 影响范围 - **受影响版本**：4.39 - **影响用户**：使用该…

Read more
CVSS 6.4
WordPress插件click-to-chat-for-whatsapp输入验证不足导致恶意链接注入漏洞
plugins.trac.wordpress.org · 2026-06-13

### 漏洞概述 该网页截图显示了一个名为“click-to-chat-for-whatsapp”的WordPress插件的源代码文件 `class-ccw-shortcode.php`。文件中存在一个潜在的安全漏洞，具体表现为在生成WhatsApp聊天链接时，未对用户输入进行充分的验证和转义，可能导致恶意代码注入或链接篡改。 ### 影响范围 - **受影响版本**：4.39 - **影响用户*…

Read more
CVSS 6.4
WordPress插件click-to-chat-for-whatsapp代码注入漏洞分析
plugins.trac.wordpress.org · 2026-06-13

### 漏洞概述 该网页截图显示了一个WordPress插件“click-to-chat-for-whatsapp”的源代码文件`class-ccw-shortcode.php`。文件中存在一个潜在的安全漏洞，具体表现为在生成WhatsApp聊天链接时，未对用户输入进行充分的验证和转义，可能导致恶意代码注入。 ### 影响范围 - **受影响版本**：4.38 - **影响用户**：使用该插件的W…

Read more

每篇文章经过自动 HTML→Markdown 清洗 + LLM 去噪 + 中英双语翻译。原始链接保留在文章末尾。

想看哪个安全博客 / 公告源？邮件告诉我们，每周新接 1-2 个。