目标: 1000 元 · 已筹: 1359 元
精选漏洞公告、利用分析、安全博客、GHSA Advisory 等情报来源，已自动清洗 + 中英双语呈现，持续更新。
### 关键漏洞信息 #### 漏洞概述 - **CVE ID**: CVE-2026-23644 - **严重性**: High - **受影响版本**: < v136 - **已修复版本**: 无 #### 漏洞详情 - **描述**: `extractPackageTarball` 函数中的路径遍历漏洞使恶意软件包能够执行文件写入操作。 - **漏洞原因**: 之前的修复 (`GO-2025…
### 关键漏洞信息 - **漏洞名称**: TOCTOU Vulnerabilities in Directory Creation - **CVE ID**: CVE-2026-22702 - **严重性**: Moderate (4.5/10) #### 影响 TOCTOU (Time-of-Check-Time-of-Use) 漏洞允许本地攻击者在目录创建操作中进行符号链接攻击。具有本地访…
### 关键信息概要 #### 漏洞编号 CVE-2025-1716 #### 漏洞描述 - **问题**: 在 `picklescan` 版本早于 0.0.21 中，存在不安全的反序列化漏洞。该漏洞允许攻击者绕过静态分析工具（如 `Picklescan`），并在反序列化过程中执行任意代码。 - **影响**: - 该漏洞可导致远程代码执行（RCE）和供应链攻击，具体表现为：攻击者可以创建包含恶意…
### 关键信息 #### 漏洞概要 - **CVE编号**: CVE-2025-1889 - **摘要**: Picklescan在0.0.22版本之前仅考虑标准pickle文件扩展名在扫描范围内。攻击者可以创建一个恶意模型，包含非标准扩展名的恶意pickle文件，从而绕过安全检查。 #### 严重性评级与弱点枚举 - **评级**: 中等 - 5.3 - **CVSS**: 4.0 - **C…
### Vulnerability Details - **Title:** Untrusted HTTP Header Handling: X-Forwarded-For/X-Real-IP Trust - **Severity:** Moderate (5.3/10) - **CVE ID:** CVE-2025-66577 - **Affected Versions:** <=0.26.0 …
### 关键信息摘要 - **插件名称**: bigbuy-wc-droppshipping-connector - **版本**: 2.0.5 - **最后修改**: 4个月前由用户333699和devsmip - **文件路径**: src/Controller/ApiController.php ### 漏洞关键信息 1. **文件包含问题**: ```php require $_DIR_.…
### 关键漏洞信息 - **[Cybersecurity Notice] REF: Spoofed Phishing Mail (Kasm Shared File)** - **描述**: 针对Kasm Technologies客户的一次网络钓鱼活动，伪装成Brian Jenrette共享文件的SharePoint Online邮件。 - **CVE-2021-35587 - Oracle Cl…
### 关键信息总结 #### 漏洞概述 - **CVE编号**: CVE-2024-3094 - **描述**: 在xz的5.6.0版本及以上中发现恶意代码，这些代码通过伪装的测试文件中的预构建对象文件，被liblzma构建过程提取，进而修改liblzma中的特定函数，导致任何链接该库的软件能够拦截和修改与该库交互的数据。 #### 严重性与追踪 - **NVD严重性**: 未知 - **其他追…
## 关键漏洞信息 ### 漏洞描述 ThinkSAAS 3.7.0 版本中存在存储型XSS漏洞，原因是用户输入在`app/system/action/do.php`中未对`site_title`、`site_subtitle`、`site_key`、`site_desc`、`site_url`、`site_email`和`site_icp`参数进行充分的过滤和转义，导致可通过恶意代码注入。 ##…
### 关键漏洞信息 #### 漏洞概述 - **CVE ID**: CVE-2025-61925 - **摘要**: 通过没有验证的请求头`x-forwarded-proto`和`x-forwarded-port`构建URL，可能导致路径基础的中间件保护绕过、SSRF、缓存投毒和WAF绕过等问题。 #### 影响版本与修复版本 - **受影响版本**: = 5.15.5 #### 漏洞细节 - …
```md ## 关键信息 - **EDB-ID**: 47230 - **CVE**: 2019-15107 - **Author**: AkkuS - **Type**: Remote - **Platform**: Linux - **Vulnerable App**: Webmin - **Date**: 2019-08-12 - **Vulnerability Details**: - …
### 关键信息总结 **漏洞概述:** - **漏洞ID:** USN-2212-1 - **影响的产品:** Django - **发布日期:** 2014年5月15日 - **概述:** Django应用程序可能会在网络上暴露敏感信息。 **受影响的版本:** - **14.04 LTS** - **13.10** - **12.10** - **12.04** - **10.04** **…
## 关键漏洞信息 ### 漏洞概述 - **针对产品**: IBM Tivoli Storage Manager FastBack - **受影响版本**: - FastBack 5.5: 5.5.0.0 to 5.5.6.0 - FastBack 6.1: 6.1.0.0 to 6.1.0.1 ### 漏洞描述 #### 问题 1: IBM Tivoli Storage Manager Fas…
### 关键漏洞信息 #### 漏洞类型 - **XSS (跨站脚本)** #### 漏洞描述 - **之前的问题**：在生成链接数据 (`generateLinkData`) 和相关视图文件 (`share-link.blade.php`) 中，用户提供的数据（如 `subject` 和 `shareText`）未经过适当的编码处理，存在XSS风险。 - **修复措施**：引入 `htmlent…
### 关键漏洞信息 #### 1. 漏洞概述 - **CVE编号**: CVE-2025-27222 - **CVSS评分**: 9.3 (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/C:HI/I:N/A:SC/HI/K:S4/N) - **产品**: TRUFusion Enterprise - **厂商URL**: https://www.rocketsoftware…
### 关键信息 - **漏洞类型**: 恶意代码注入到SVG图像漏洞 (#13927) - **修复措施**: 添加了Content-Security-Policy头到/public image api以防止恶意代码注入。 - **提交者**: ViacheslavKlimov 合并了1个提交到 thingsboard:rc 从 dashevchenko:svgCodeInjection 分支。…
### 关键信息 - **漏洞名称**: VestaCP Debian Installer Malicious Backdoor Supply Chain Compromise - **严重性**: CRITICAL - **日期**: October 14, 2025 - **影响范围**: - VestaCP commit a3f0fa1 (2018-05-31) < commit ee03e…
### 关键信息 - **漏洞名称**: CCleaner v5.33.6162 & CCleaner Cloud v1.07.3191 Malicious Backdoor Supply Chain Compromise - **严重性**: CRITICAL - **日期**: October 8, 2025 - **影响版本**: - CCleaner 5.33.6162 - CCleane…
### 关键信息 #### 漏洞概述 - **漏洞名称**: Kilo Code AI Agent Exposes Users to Supply Chain Attack Via Prompt Injection - **受影响组件**: Kilo Code VS Code Extension - **易受攻击版本**: 版本4.88.0之前的版本 #### 影响 - **即时影响**: - 绕…
### 关键信息 #### 漏洞概述 - **漏洞类型**: 依赖混淆漏洞 (Dependency Confusion) - **影响项目**: pyvista - **CVE ID**: CVE-2025-61774 - **严重性**: Critical - **CWE**: CWE-94 #### 影响版本 - **受影响版本**: v0.46.3 - **修复版本**: None ####…
每篇文章经过自动 HTML→Markdown 清洗 + LLM 去噪 + 中英双语翻译。原始链接保留在文章末尾。
想看哪个安全博客 / 公告源？邮件告诉我们，每周新接 1-2 个。