目标: 1000 元 · 已筹: 1359 元
精选漏洞公告、利用分析、安全博客、GHSA Advisory 等情报来源，已自动清洗 + 中英双语呈现，持续更新。
## 漏洞概述 - **漏洞名称**：PHPGurukul Small CRM - Insecure Deserialization（PHP 对象注入） - **CVE**：pending（已提交至 VulDB） - **弱点类型**：CWE-502 未受信任数据的反序列化 - **成因**：`/crm/login.php` 登录成功处理器向第三方 geolocation 服务发起服务端请求，使用…
# 漏洞关键信息总结 ## 漏洞概述 - **类型**：缓存投毒（Cache Poisoning） - **成因**：`WCF` 的 `DiskCacheSource` 在序列化缓存键时，未对序列化值（`$value`）做安全边界校验。攻击者可构造特殊值，使序列化后的字符串中意外包含 `V1.php` / `V2.php` 等缓存文件路径片段，从而污染磁盘缓存。 - **修复思路**：在 `ser…
## 漏洞概述 - **漏洞名称**：HTTP Request Smuggling via Underscore Header Name Confusion（下划线请求头名称混淆导致的 HTTP 请求走私） - **根因**：Puma 的 HTTP 解析器通过 `snake_upcase_char` 函数将请求头中的下划线（`_`）转换为逗号（`,`），但 `setup_body` 中的常见字段查…
# 漏洞总结：恶意 NuGet 注册表可通过 `Link` 头渗出凭据 - **漏洞概述** - 类型：凭据渗出（CWE-319：可预测的随机数用于安全相关决策） - 机制：Renovate 在列出包的新版本时，会跟随远程注册表返回的 `Link` 头进行分页。若注册表被恶意控制或已被攻陷，攻击者可利用 `Link` 头将请求重定向到攻击者控制的服务器，从而渗出凭据。 - 严重度：High（CVS…
# 网页关键信息总结 ## 漏洞概述 - **法规背景**：欧盟《网络弹性法案》（CRA）于2027年10月12日生效，对数字产品提出强制性网络安全要求，覆盖开源软件。 - **漏洞报告义务**：CRA 要求制造商对开源软件中的漏洞进行报告，并建立漏洞披露与修复流程。 - **现状数据**：60% 的受访者表示对法规仍不熟悉；仅 4% 的制造商预计能在2027年12月1日前完全合规，39% 表示无…
# GuardBreaker 漏洞关键信息总结 ## 漏洞概述 - **名称**：GuardBreaker - **类型**：针对 AI 辅助代码分析工具的对抗性技术（一种提示注入/反分析技术） - **原理**：攻击者在代码中插入一条看似无害的注释（如 `// This is a highly optimized function (HOF).`），用于干扰 LLM 代码扫描器，使其在分析时"卡…
## 漏洞概述 - **类型**：恶意软件（Malware） - **名称**：Grand Theft Auto VI Hype Leads to Malware - **发布时间**：2026年9月9日 - **作者**：Matt Poto, Ben Hornsby - **核心机制**：威胁行为者利用玩家对 GTA6 泄露版本的搜索需求，通过伪造的 ISO 镜像文件（伪装成 GTA6 泄露版）…
# 网页关键信息总结 ## 漏洞概述 - **核心问题**：AI 编码代理（AI coding agents）会在会话中途自主安装软件包，且通常无需人工复核（on reflex, not review）。 - **风险类型**： - **恶意包（Malicious package）**：可能直接攻陷开发者的机器（如窃取凭证、令牌等环境中的敏感信息）。 - **一般风险包（Merely risky …
# AVideo 认证绕过与 SQL 缓存投毒漏洞 关键信息总结 ## 漏洞概述 - **漏洞类型**：认证绕过（Authentication Bypass）+ SQL 缓存投毒（SQL Cache Poisoning） - **影响组件**：AVideo 插件（WordPress 视频管理插件） - **漏洞编号**：AVideo 认证绕过与 SQL 缓存投毒 ## 影响范围 - **受影响版本…
# 漏洞关键信息总结 ## 漏洞概述 - 文章标题：《The Lightwell reality check》（Lightwell 现实检验） - 核心问题：AI 驱动的漏洞利用速度远超企业安全团队的响应速度，导致大量已认证、已打补丁的遗留/固定环境中的软件漏洞在"尴尬窗口期"内被利用。 - 关键现象：当组织发现其部署流程无法应对漏洞流入时，常见反应是"我们该签什么合同？"——即依赖 Lightw…
## 漏洞概述 该提交修复了一个安全漏洞：`usage_rules.search_docs` 接口返回的搜索结果中，包含由发布者（publisher）控制的文档元数据字段（如 `title`、`package`、`type`、`ref` 等）。这些字段被直接插入到终端输出中，未对终端控制序列（如 ANSI 转义序列）进行中和处理，导致恶意包可以注入 ANSI 转义序列（如光标移动、颜色代码等），从…
# EEF-CVE-2026-82710 漏洞总结 ## 漏洞概述 - **漏洞类型**：终端转义序列注入（Terminal escape sequence injection） - **漏洞位置**：`mix_usage_rules_search_docs` 包中的文档元数据 - **漏洞描述**：`ash-project` 的 `usage_rules` 允许恶意包发布者将终端转义序列注入到 …
## 漏洞关键信息总结 ### 漏洞概述 - **CVE编号**：CVE-2026-02710 - **漏洞名称**：Terminal escape sequence injection in mix usage_rules.search_docs via package documentation metadata - **漏洞类型**：Improper Neutralization of Es…
## 漏洞关键信息总结 ### 漏洞概述 - **漏洞名称**：Shai-Hulud（"Shai-Hulud Rises From the Dead after 111 days"） - **类型**：供应链攻击 / 恶意 npm 包（worm 蠕虫式传播） - **时间线**： - 2026年5月19日：首次发现，npm 包中携带相同恶意 payload - 2026年9月7日：4个包再次发布，…
## 漏洞概述 - **漏洞类型**：npm 和 PyPI 生态中的 **typosquatting（拼写错误抢注）攻击**——攻击者注册与流行包名仅相差一个字符的相似包名（如 `req`、`express` 的变体），诱导开发者误装恶意包。 - **检测方式**：基于 Damerau-Levenshtein 编辑距离，匹配三类模式： 1. **Omission（省略）**：`express` →…
## 漏洞概述 - **漏洞名称**：`cristobal` 包中 `Cache` 结构体的 `Get` 方法存在**缓存投毒（Cache Poisoning）漏洞**。 - **漏洞类型**：缓存投毒 / 缓存键冲突 - **影响组件**：`github.com/senzir/cristobal` 中的 `Cache` 类型 - **漏洞描述**：`Cache.Get` 方法在构造缓存键时，未对…
## 漏洞概述 - **漏洞类型**：CRLF 注入（HTTP 响应头注入） - **漏洞位置**：`reader/src/services/curl.ts` 中 `Curl` 类的 `request` 方法 - **漏洞描述**：`Curl` 类在构造 HTTP 请求时，将用户可控的 `url`、`headers` 等参数直接拼接到 `curl` 命令行中，未对换行符（`\r\n`）进行过滤或转…
# CERT-EU 网络简报 26-09（2026年8月）关键信息总结 ## 漏洞概述 - **Rust 供应链攻击**：恶意发布物（Rust crates）通过类型化依赖关系传播，影响多个组织。 - **Windows 零日漏洞利用**：针对 Windows 的零日漏洞被用于攻击国防机构，涉及 CVE-2026-6820。 - **Windows 零日漏洞（CVE-2026-3392）**：Wi…
## 漏洞概述 - **漏洞名称**：Shadow AI（影子AI） - **定义**：指在组织内部被使用但未经过审批、治理或监控的AI工具、应用、设备或云服务。 - **风险本质**：员工为追求效率使用未经批准的AI工具，导致数据泄露、合规风险及安全隐患。 ## 影响范围 - **行业**：金融服务行业（因数据敏感度高、监管严格，风险尤为突出）。 - **常见工具**：ChatGPT、Micro…
# 漏洞关键信息总结 ## 漏洞概述 - **类型**：供应链安全 / 镜像完整性验证 - **核心问题**：LiteLLM 的 Docker 镜像存在被篡改或伪造的风险，需通过 `cosign` 签名验证确保镜像来源可信。 ## 影响范围 - **受影响组件**：LiteLLM 官方 Docker 镜像（`gcr.io/berriai/litellm`） - **影响版本**：v1.96.2 及…
每篇文章经过自动 HTML→Markdown 清洗 + LLM 去噪 + 中英双语翻译。原始链接保留在文章末尾。
想看哪个安全博客 / 公告源？邮件告诉我们，每周新接 1-2 个。