目标: 1000 元 · 已筹: 1359 元
精选漏洞公告、利用分析、安全博客、GHSA Advisory 等情报来源，已自动清洗 + 中英双语呈现，持续更新。
## 漏洞关键信息总结 ### 漏洞概述 - **漏洞名称**：Shai-Hulud（"Shai-Hulud Rises From the Dead after 111 days"） - **类型**：供应链攻击 / 恶意 npm 包（worm 蠕虫式传播） - **时间线**： - 2026年5月19日：首次发现，npm 包中携带相同恶意 payload - 2026年9月7日：4个包再次发布，…
## 漏洞概述 - **漏洞类型**：npm 和 PyPI 生态中的 **typosquatting（拼写错误抢注）攻击**——攻击者注册与流行包名仅相差一个字符的相似包名（如 `req`、`express` 的变体），诱导开发者误装恶意包。 - **检测方式**：基于 Damerau-Levenshtein 编辑距离，匹配三类模式： 1. **Omission（省略）**：`express` →…
## 漏洞概述 - **漏洞名称**：`cristobal` 包中 `Cache` 结构体的 `Get` 方法存在**缓存投毒（Cache Poisoning）漏洞**。 - **漏洞类型**：缓存投毒 / 缓存键冲突 - **影响组件**：`github.com/senzir/cristobal` 中的 `Cache` 类型 - **漏洞描述**：`Cache.Get` 方法在构造缓存键时，未对…
## 漏洞概述 - **漏洞类型**：CRLF 注入（HTTP 响应头注入） - **漏洞位置**：`reader/src/services/curl.ts` 中 `Curl` 类的 `request` 方法 - **漏洞描述**：`Curl` 类在构造 HTTP 请求时，将用户可控的 `url`、`headers` 等参数直接拼接到 `curl` 命令行中，未对换行符（`\r\n`）进行过滤或转…
# CERT-EU 网络简报 26-09（2026年8月）关键信息总结 ## 漏洞概述 - **Rust 供应链攻击**：恶意发布物（Rust crates）通过类型化依赖关系传播，影响多个组织。 - **Windows 零日漏洞利用**：针对 Windows 的零日漏洞被用于攻击国防机构，涉及 CVE-2026-6820。 - **Windows 零日漏洞（CVE-2026-3392）**：Wi…
## 漏洞概述 - **漏洞名称**：Shadow AI（影子AI） - **定义**：指在组织内部被使用但未经过审批、治理或监控的AI工具、应用、设备或云服务。 - **风险本质**：员工为追求效率使用未经批准的AI工具，导致数据泄露、合规风险及安全隐患。 ## 影响范围 - **行业**：金融服务行业（因数据敏感度高、监管严格，风险尤为突出）。 - **常见工具**：ChatGPT、Micro…
# 漏洞关键信息总结 ## 漏洞概述 - **类型**：供应链安全 / 镜像完整性验证 - **核心问题**：LiteLLM 的 Docker 镜像存在被篡改或伪造的风险，需通过 `cosign` 签名验证确保镜像来源可信。 ## 影响范围 - **受影响组件**：LiteLLM 官方 Docker 镜像（`gcr.io/berriai/litellm`） - **影响版本**：v1.96.2 及…
# A.I.G (AI-Infra-Guard) 漏洞与修复信息总结 ## 漏洞概述 A.I.G（AI-Infra-Guard）是腾讯朱雀实验室推出的 AI Red Team 平台，专注于 AI 生态系统的漏洞检测与修复。其核心功能包括： - **LLM API 投毒检测**：针对模型投毒（Model Poisoning）的检测。 - **SkillScan**：基于字节码的投毒检测，防御字符走私…
# OWASP Top 10 CI/CD 安全风险关键信息总结 ## 漏洞概述 - **核心风险**：CI/CD 管道中的凭证（凭据）管理不当，是 CI/CD 安全的首要威胁。 - **主要漏洞类型**： - 硬编码凭证（Hardcoded Credentials） - 凭证泄露（Credential Leakage） - 凭证轮换缺失（Lack of Credential Rotation） -…
## 漏洞概述 - **漏洞名称**：Redis 命令注入与拒绝服务（CRLF 走私） - **漏洞类型**：CRLF 中和化失败（CWE-93） - **影响**：未认证攻击者可通过聚合连接中的管道化命令注入任意 Redis 命令，导致： - **集群模式**：远程命令注入（共享键 FLUSHDB、目标 DEL/SET、同槽键 SET、缓存投毒、节点/集群故障） - **复制模式**：可靠的、可…
## 漏洞概述 - **漏洞名称**：ClickFix 攻击活动 - **漏洞类型**：基于区块链的 C2（命令与控制）服务器动态更新机制 - **核心机制**：攻击者利用 Polygon 区块链作为“攻击者控制的地址簿”，通过 Ethereum 智能合约动态更新 C2 服务器地址，绕过传统基于固定 IP/域名的 C2 检测手段 - **攻击流程**： 1. 通过 ClickFix 活动（搜索引擎…
# 漏洞总结：Virtual store linker 路径遍历（GHSA-c59q-84qb-2g5b） ## 漏洞概述 - **漏洞类型**：路径遍历（Path Traversal） - **根因**：`dp.parse()` 对 `depPath` 的 `name` 字段未做校验，攻击者可通过构造恶意 `pnpm-lock.yaml` 中的包名（如 `../../tmp/pwned1.0.0…
## 漏洞概述 - **漏洞类型**：IDNA 规范化（IDNA normalization）不一致导致的**主机名混淆/缓存投毒（cache poisoning）**。 - **根因**：浏览器对非规范化（non-NFC）的 IDNA 主机名会先做 NFC 规范化，而某些客户端/服务器（如 Perl 的 `URI` 模块）不做规范化，导致同一逻辑主机名在不同实现下产生不同的字节表示，从而可能让攻…
## 漏洞关键信息总结 ### 漏洞概述 - **漏洞编号**：PYSEC-2026-2608 - **发布人**：publishers: "2026-07-13T15:19:10.00312Z" - **修改时间**：modified: "2026-07-13T16:04:42.004312Z" - **别名**：GHSA-8qg9-3h5d-q796 - **摘要**：`indeploy: h…
# 网页关键信息总结 ## 漏洞概述 - **漏洞类型**：AI 代理（Agentic AI）在浏览器/企业环境中存在安全缺陷，包括： - 浏览器扩展（如 AdBlock）被恶意利用，形成“扩展投毒”（Extension Poisoning）攻击面 - AI 代理（如 Anthropic 的 Claude 系列）在 CTF 竞赛中展现出超越人类防御者的能力，可发现并利用真实企业系统中的漏洞 - 开…
## 漏洞关键信息总结 ### 1. 漏洞概述 - **核心问题**：开源软件供应链中存在的**私有分叉（Private Forks）**和**CRA（欧盟网络弹性法案）合规性**挑战。 - **背景**：随着欧盟CRA法案生效，开源项目面临合规压力，私有分叉导致安全更新难以同步，形成安全漏洞。 ### 2. 影响范围 - **受影响对象**： - 开源软件维护者（需应对CRA合规要求）。 - 依…
## 漏洞关键信息总结 ### 漏洞概述 - **类型**：供应链攻击 / 依赖包投毒（poisoned packages） - **成因**：应用依赖的第三方包中存在未被审计的漏洞，攻击者通过投毒包和开发者工具进行攻击 - **特点**：漏洞潜伏期长（如十年未审查的 Java 服务），扫描器曾四次发现同一问题，但修复滞后 ### 影响范围 - **受影响对象**： - 使用第三方依赖包的应用程序…
# 漏洞关键信息总结 ## 漏洞概述 - **漏洞类型**：tar 包解包时的符号链接目录逃逸（symlink escape）漏洞。 - **问题描述**：在解包 tar 包时，若包内包含指向提取根目录外部的符号链接目录，恶意包可能通过该符号链接将文件写入提取根目录之外，造成路径穿越/任意文件写入风险。 - **修复思路**：在解包前预先创建符号链接（pre-existing symlinks），…
## 漏洞概述 - **漏洞类型**：npm 供应链攻击（Supply Chain Attack） - **受影响包**：`@noha/openai-react-query-codegen` - **事件时间**：2026年8月28日，攻击者向 npm 发布了 10 个恶意版本（20.0.0 和 20.2.1 UTC） - **影响规模**：该包在窗口期内累计下载量约 150,000 次 - **…
# Shai-Hulud — Trinitite: Sponsored by Preview 2 Effects 漏洞总结 ## 漏洞概述 - **类型**：npm 供应链投毒（恶意包劫持） - **恶意包**：`@/nohe/openapi-react-query-codegen` - **触发条件**：安装特定版本（0.5.4, 0.5.5, 1.6.3, 1.6.4, 2.2.1, 2.2.…
每篇文章经过自动 HTML→Markdown 清洗 + LLM 去噪 + 中英双语翻译。原始链接保留在文章末尾。
想看哪个安全博客 / 公告源？邮件告诉我们，每周新接 1-2 个。