目标: 1000 元 · 已筹: 1359 元
精选漏洞公告、利用分析、安全博客、GHSA Advisory 等情报来源，已自动清洗 + 中英双语呈现，持续更新。
### 漏洞概述 该漏洞涉及对搜索向量字段（search vector field）的验证逻辑进行了重构，旨在防止潜在的SQL注入攻击。通过引入更严格的验证规则，确保用户输入的表达式不会包含危险字符或结构，从而避免恶意代码注入。 ### 影响范围 - **受影响模块**：`packages/twenty-server/src/engine/workspace-manager/workspace-m…
### 漏洞概述 - **漏洞名称**: Cross-Tenant Module-Cache Poisoning in the JS Task Runner - **漏洞描述**: n8n的JavaScript任务运行器在所有用户的代码节点执行中共享一个模块缓存，导致用户可以在代码节点中运行缓存的模块，并影响其他用户的代码节点执行，从而破坏其机密性、完整性或可用性。这是一个跨租户隔离的漏洞，但不构…
### 漏洞概述 - **漏洞编号**：Bug 2484746 (CVE-2026-50237) - **漏洞名称**：openshift/console: Namespace tenant SSRF with egress bypass, catalog poisoning, and admin-mediated supply chain escalation via ProjectHelmCh…
### 漏洞概述 - **ChainDrop**：恶意软件感染超过1300个npm包，月下载量达20亿次。攻击者通过精心策划的npm大屠杀，感染开发者环境，窃取SSH密钥和Git配置，获取对代码仓库的访问权限。 - **Open VSX**：77个“孪生恶魔”插件伪装成知名插件，收集主机名、仓库信息、CI/CD数据等敏感信息。 - **HaluSquatting**：AI幻觉导致推荐不存在的代码包…
### 漏洞概述 **标题**: Malicious code execution via compromised commits **严重性**: Critical **CVE ID**: CVE-2026-48161 **发布日期**: 2026-05-22 **包**: dal-shi/react18-use (GitHub) **描述**: 在 `T0` 和 `T1` 之间，默认分支包含恶…
### 漏洞概述 - **漏洞名称**: Malicious code execution via compromised commits - **CVE ID**: CVE-2026-48139 - **严重程度**: Critical - **发布时间**: 2026-05-22 - **描述**: 在 `dal-shiluse-reducer-async` 包的默认分支中发现了恶意提交，这些…
### 漏洞概述 Wordfence威胁情报团队于2026年8月7日收到关于BdThemes供应链漏洞的通知。该漏洞影响了多个BdThemes插件，这些插件在WordPress官方插件目录中可用。攻击者通过篡改静态远程JSON数据流，利用Biggopti库中的跨站脚本（XSS）漏洞，向管理员页面注入恶意脚本。 ### 影响范围 - **受影响软件**： - Element Pack Addons …
### 漏洞概述 **漏洞名称**: $import-pnp operation enables authenticated SSRF, credential leakage, and warehouse data poisoning **CVE ID**: CVE-2025-47664 **描述**: Pathling Server 的 `$import-pnp` 操作接受一个调用者提供的 `e…
### 漏洞概述 该网页截图展示了一个关于验证云pickle内容哈希的提交（commit）。此提交旨在修复一个潜在的安全漏洞，确保在加载云pickle文件时验证其内容哈希，以防止数据篡改或恶意代码注入。 ### 影响范围 - **受影响文件**： - `src/zenml/artifacts/utils.py` - `src/zenml/materializers/base_materialize…
### 漏洞概述 - **漏洞名称**: Membership Plugin – Kadence Memberships <= 4.0.0 - Unauthenticated Password Reset Link Poisoning to Account Takeover - **CVE ID**: CVE-2026-9273 - **CVSS评分**: 9.3 (Critical) - **发…
### 漏洞概述 - **漏洞名称**：MonsterInsights Pro 10.2.0/10.2.2 - Backdoored via AWS S3 bucket compromise - **描述**：官方MonsterInsights Pro更新分发桶（'monster-insights.s3.amazonaws.com'）被攻破。当前版本（10.2.2）和回滚版本（10.2.0）均包含…
### 漏洞概述 MetaGPT 在生成应用代码时，可能会在看似正常的功能请求中嵌入恶意要求，导致生成的代码包含明确的凭证外泄或数据泄露行为。具体表现为： - **核心问题**：MetaGPT 在攻击者控制的功能请求下，生成了包含明确凭证和环境数据泄露行为的后门代码。 - **验证行为**： - MetaGPT 被要求生成一个认证模块。 - 请求中包含一个伪装成“调试”要求的恶意子要求，用于将凭证…
### 漏洞概述 - **漏洞编号**: RHSA-2026:51064 - **发布日期**: 2026-08-06 - **更新日期**: 2026-08-06 - **严重程度**: Important - **CVSS评分**: 未提供具体数值，但根据描述为“Important”级别。 ### 影响范围 - **受影响系统**: Red Hat Enterprise Linux 10.0 …
### 漏洞概述 GitHub 的 Advisory Database 现在不仅限于 npm 包，还扩展到了其他七个主要的包生态系统。通过构建在 OpenSSF 共享恶意包数据之上的供应链工程团队，GitHub 能够检测并警告用户关于恶意包的使用。 ### 影响范围 - **生态系统**：npm、PyPI、Maven、RubyGems、NuGet、Go、crates.io 和 PHP Compos…
### 漏洞概述 该网页截图展示了一个名为 `BaseHandler.php` 的文件，属于 FluentSMTP 插件的源代码。文件中存在一个潜在的安全漏洞，具体表现为在处理邮件发送时，未对用户输入进行充分验证和过滤，可能导致恶意代码注入或信息泄露。 ### 影响范围 - **受影响版本**：FluentSMTP 插件版本 2.2.95 及以下。 - **影响组件**：邮件发送功能模块。 - *…
### 漏洞概述 研究人员在Google的开源Agent Development Kit (ADK) for Python中发现了多个漏洞，这些漏洞允许低权限的AI代理通过提示注入（prompt injections）触发高权限代理执行命令。这种攻击方式被称为“链式漏洞”（chain of flaws），可能导致软件供应链的破坏。 ### 影响范围 - **受影响系统**：Google的ADK f…
### 漏洞概述 - **漏洞名称**: keyv/cacheable npm Worm - **发布日期**: 2026年8月4日 - **描述**: 攻击者接管了广泛使用的 keyv 和 cacheable npm 命名空间背后的维护者账户，发布了包含恶意代码的 trojanized 版本。这些版本在 `preinstall` 钩子中注入了恶意脚本，该脚本会下载并执行一个独立的 Bun 运行时…
### 漏洞概述 该网页截图展示了一个名为 `super-progressive-web-apps` 的 WordPress 插件的源代码文件 `sw.php`。文件中存在一个潜在的安全漏洞，具体表现为在服务 worker 生成过程中，未对用户输入进行充分验证和清理，可能导致恶意代码注入。 ### 影响范围 - **受影响版本**：2.2.41 及更早版本。 - **影响组件**：服务 worke…
### 漏洞概述 该网页截图展示了一个名为 `cost-calculator-builder` 的 WordPress 插件的源代码文件 `CCBExportImport.php`。文件中存在一个潜在的安全漏洞，具体表现为在导入计算器数据时，未对用户输入进行充分验证和过滤，可能导致恶意代码注入或数据篡改。 ### 影响范围 - **受影响版本**：`cost-calculator-builder`…
### 漏洞概述 - **漏洞名称**: keyv npm 包被植入恶意代码 - **漏洞描述**: 攻击者在 `keyv` 包的多个版本中植入了恶意代码，这些代码在包安装时执行，并加载额外的恶意负载。 - **漏洞类型**: 供应链攻击 ### 影响范围 - **受影响包**: `keyv` 及其相关包（如 `keyv-mongo`, `keyv-sqlite` 等） - **受影响版本**: …
每篇文章经过自动 HTML→Markdown 清洗 + LLM 去噪 + 中英双语翻译。原始链接保留在文章末尾。
想看哪个安全博客 / 公告源？邮件告诉我们，每周新接 1-2 个。