目标达成感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%

请我们喝杯咖啡

安全情报专区 74403+

精选漏洞公告、利用分析、安全博客、GHSA Advisory 等情报来源，已自动清洗 + 中英双语呈现，持续更新。

244

已接入情报源

126

当前稳定在线

895

24 小时新增

74,403+

AI 处理情报

持续监听、清洗、翻译并进行 AI 分析监听情报

内容导航全部情报 🔗 供应链投毒情报 425 恶意包结构化数据库

筛选

仅 KEV

已验证 PoC

CVSS 7.5

ayuhito/modern-tar库tar解析无效八进制字段漏洞修复及PoC

github.com · 2026-10-13

### 漏洞概述该漏洞涉及在解析tar文件时，对无效八进制字段的处理不当。具体表现为，当遇到无效的八进制数字时，程序未能正确抛出错误，导致潜在的安全风险。 ### 影响范围此漏洞影响所有使用`ayuhito/modern-tar`库解析tar文件的程序。特别是那些依赖于严格模式（strict mode）进行文件提取的应用，可能会因为未能正确识别和处理无效的八进制字段而遭受攻击。 ### 修复方…

CVSS 7.5

modern-tar TAR文件编码解码安全分析与修复

github.com · 2026-10-13

### 漏洞概述该网页截图展示了一个名为 `modern-tar` 的项目中的 `encoding.ts` 文件，主要涉及 TAR 文件格式的编码和解码操作。文件中包含多个函数用于处理字符串和数字的编码和解码，特别是针对 TAR 文件中的字段。 ### 影响范围 - **影响范围**：该文件中的编码和解码函数可能影响 TAR 文件的正确解析和生成。如果这些函数存在漏洞，可能导致 TAR 文件内容…

CVSS 4.3

ERPNext库存模块漏洞修复与批次安全控制

github.com · 2026-10-13

### 漏洞概述该网页截图描述了一个关于ERPNext系统中库存管理模块的多个漏洞修复。主要涉及以下五个问题： 1. **过期批次从生产日期开始计算，而非收货日期** 2. **过期批次在打包时被接受** 3. **split_batch 操作丢失了过期日期、生产日期和父批次信息** 4. **禁用批次在交易中仍被接受** 5. **批次库存端点缺乏访问控制检查** ### 影响范围 - **过…

CVSS 6.1

pnpm extractTarballLocally符号链接处理不当导致任意文件写入漏洞修复

github.com · 2026-10-13

### 漏洞概述 - **漏洞标题**: fix(sandbox): refuse symlink/hardlink members in result tarball extra... #46 - **漏洞描述**: 在 `extractTarballLocally` 函数中，之前使用 `tar -xzf` 解压文件时没有进行安全加固，导致在不受信任的沙箱虚拟机中可能植入符号链接（symlink…

CVSS 4.3

ERPNext批次库存权限绕过修复

github.com · 2026-10-13

### 漏洞概述该漏洞涉及在ERPNext系统中，对批次库存端点的访问控制不足。具体而言，某些操作未正确验证用户权限，导致未经授权的用户可能访问或修改批次库存数据。 ### 影响范围 - **受影响文件**： - `erpnext/stock/doctype/batch/batch.py` - `erpnext/stock/doctype/batch/test_batch.py` - **受影响…

CVSS 6.1

Vercel deepsec 沙箱任意文件写入漏洞(PoC)

www.vulncheck.com · 2026-10-13

### 漏洞概述 Vercel deepsec 1.1.17 版本中存在一个任意文件写入漏洞，该漏洞通过符号链接在沙箱 tarball 提取过程中被利用。 ### 影响范围 - **受影响版本**：Vercel deepsec 1.1.17 及之前版本。 - **漏洞类型**：任意文件写入。 - **利用方式**：通过符号链接在沙箱 tarball 提取过程中实现。 ### 修复方案 - **建议…

精品

CVSS 8.7

Edgeeaver Desktop 1.108.0 预加载桥RCE漏洞分析

github.com · 2026-10-13

# 漏洞概述 **漏洞ID**: vuln-0047 **严重程度**: CRITICAL **发现时间**: 2026-10-11 01:38:09 UTC **目标**: Edgeeaver Desktop (@edgeeaver/desktop 1.108.0) — packaged renderer bundle resources/web **端点**: resources/web/as…

精品

CVSS 8.8

系统部署路径安全加固：限制nsenter作用域及版本化符号链接

github.com · 2026-10-13

### 漏洞概述该网页截图展示了一个关于“Harden deploy path: scoped nsenter root + versioned-symlink binary install”的提交记录。主要目的是通过限制nsenter root的作用域和使用版本化的符号链接来增强部署路径的安全性，防止潜在的漏洞利用。 ### 影响范围 - **影响组件**：主要影响与部署路径相关的组件，特别是…

CVSS 6.1

Blade组件TomSelect硬编码引发的潜在XSS漏洞分析

github.com · 2026-10-13

### 漏洞概述该网页截图展示了一个名为 `select-list.blade.php` 的文件，其中包含了一段关于下拉列表组件的代码。代码中涉及了 `TomSelect` 库的使用，用于处理动态加载选项的功能。然而，代码中存在一个潜在的安全漏洞，即 `TomSelect` 实例的 `valueField` 和 `labelField` 属性被硬编码为 `'id'` 和 `'title'`，这可…

CVSS 4.3

ERPNext多模块业务逻辑漏洞修复总结

github.com · 2026-10-13

### 漏洞概述该网页截图展示了一个关于ERPNext系统的漏洞修复总结，涉及多个模块的漏洞修复。主要漏洞包括： 1. **供应商保留问题**： - 在付款条目或日记条目中发送退货时跳过供应商保留。 - 负银行借记不被视为付款。 - 来自保留供应商的退款阻止批量日记条目。 2. **购买问题**： - 更新项目后，RFQ“已接收”仅在其报价行被移除后更新。 - 提交草稿评分卡期间保持不同的供应商…

CVSS 7.5

N3.js库IRI解析正则表达式DoS漏洞

github.com · 2026-10-13

### 漏洞概述该漏洞涉及在解析IRI（国际资源标识符）时，由于正则表达式处理不当，可能导致拒绝服务（DoS）攻击。攻击者可以通过构造特定的IRI输入，使解析器陷入无限循环或长时间运行，从而导致服务不可用。 ### 影响范围 - **受影响组件**：`rdfjs/N3.js` 库中的 `N3Lexer` 和 `N3Parser` 类。 - **影响版本**：v3.0.0-alpha.12 及更早…

CVSS 4.3

ERPNext门户用户越权访问项目时间表漏洞修复

github.com · 2026-10-13

### 漏洞概述该漏洞涉及在 `erpnext` 项目中，门户时间表的访问权限控制不当。具体来说，门户时间表仅对项目的成员开放，但网站权限异常导致非项目成员的用户（如客户门户用户）也能看到项目的时间表、草稿等。 ### 影响范围 - **受影响文件**： - `erpnext/templates/pages/projects.py` - `test_projects.py` - **受影响功能*…

CVSS 4.3

erpnext项目页面未授权访问漏洞修复指南

github.com · 2026-10-13

### 漏洞概述该漏洞涉及对 `erpnext` 项目中 `templates/pages/projects.py` 文件的访问控制问题。具体来说，`get_timesheets` 和 `get_tasks` 函数在处理项目用户时存在逻辑错误，可能导致未授权用户访问敏感数据。 ### 影响范围 - **受影响文件**: `erpnext/erpnext/templates/pages/proje…

CVSS 7.1

Shark API路由更新与删除缺失授权漏洞(PoC)

www.vulncheck.com · 2026-10-13

# 漏洞概述 Shark 1.2.13 到 1.2.44 版本存在通过 API 更新和删除路由的缺失授权漏洞。 # 影响范围 Shark 1.2.13 到 1.2.44 版本。 # 修复方案升级到 Shark 1.2.45 或更高版本。 # POC代码 ```python import requests import json # 设置目标URL url = "http:///api/v1/ro…

CVSS 4.2

Goose execute_bash工具需手动批准权限修复

github.com · 2026-10-13

### 漏洞概述该漏洞涉及在代码模式中手动批准权限的强制执行。具体来说，`execute_bash` 工具被标记为易变、破坏性、非幂等和开放世界。 ### 影响范围 - **工具**：`execute_bash` - **功能**：复制函数详细信息标题、添加覆盖工具元数据、限制只读注释和缓存自动允许、添加批准/智能批准决策矩阵回归 ### 修复方案 1. **标签**：将 `execute_ba…

CVSS 4.2

Goose代理未授权执行权限绕过漏洞修复分析

github.com · 2026-10-13

### 漏洞概述该漏洞涉及在代码执行过程中，未正确强制执行手动批准流程，导致潜在的安全风险。具体表现为在某些情况下，工具调用可能未经过适当的权限检查，从而可能被恶意利用。 ### 影响范围 - **受影响文件**： - `crates/goose/src/agents/agent.rs` - `crates/goose/src/agents/platform_extensions/code_ex…

CVSS 5.4

文件上传/预览路由未授权访问漏洞及修复代码

github.com · 2026-10-13

### 漏洞概述该漏洞涉及对文件上传和预览路由的授权问题。具体来说，`/api/v1/upload`、`/api/v1/preview` 和 `/api/v1/preview/generate` 路由未正确授权，导致未授权用户可以访问这些路由。这可能导致未授权的文件上传和预览操作。 ### 影响范围 - **受影响的路由**：`/api/v1/upload`、`/api/v1/preview` …

CVSS 4.2

Rust工具调用权限绕过漏洞分析

github.com · 2026-10-13

### 漏洞概述该网页截图展示了一个名为 `permission_inspector.rs` 的 Rust 代码文件，主要涉及权限检查和工具调用的逻辑。代码中存在一个潜在的漏洞，可能与权限管理相关。 ### 影响范围 - **权限管理模块**：该漏洞可能影响所有使用 `PermissionInspector` 进行权限检查的工具调用。 - **用户权限**：如果漏洞被利用，可能导致用户权限被错误…

CVSS 7.1

IDOR漏洞：多API端点缺失所有权验证修复方案

github.com · 2026-10-13

### 漏洞概述 - **漏洞名称**: Fix IDOR: add ownership verification for all content API endpoints #110 - **漏洞类型**: 不安全的直接对象引用（IDOR） - **漏洞描述**: API CRUD 端点对于链接、故事、箱子、相册缺乏所有权验证。任何经过认证的用户都可以通过猜测整数 ID 修改或删除另一个用户的内…

精品

CVSS 8.7

EdgeViewer Desktop SSRF/CSS 与 Markdown 渲染 XSA 漏洞分析

github.com · 2026-10-13

### 漏洞概述 **漏洞ID**: vuln-0046 **严重程度**: CRITICAL **发现时间**: 2026-10-11 01:37:28 UTC **目标**: EdgeViewer Desktop (webgeever/desktop_1.108.0) **端点**: resources/web/assets/templatesPane-PGnEW8Fh.js **方法**: …

每篇文章经过自动 HTML→Markdown 清洗 + LLM 去噪 + 中英双语翻译。原始链接保留在文章末尾。

想看哪个安全博客 / 公告源？邮件告诉我们，每周新接 1-2 个。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

安全情报专区 74403+

目标达成感谢每一位支持者 — 我们达成了 100% 目标！