目标达成感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%

请我们喝杯咖啡

安全情报专区 74403+

精选漏洞公告、利用分析、安全博客、GHSA Advisory 等情报来源，已自动清洗 + 中英双语呈现，持续更新。

244

已接入情报源

126

当前稳定在线

895

24 小时新增

74,403+

AI 处理情报

持续监听、清洗、翻译并进行 AI 分析监听情报

内容导航全部情报 🔗 供应链投毒情报 425 恶意包结构化数据库

筛选

仅 KEV

已验证 PoC

精品

CVSS 8.7

Electron主窗口导航白名单绕过与Markdown XSS导致特权API提权

github.com · 2026-10-13

# [漏洞反馈][HIGH] vuln-0038 | 主窗口导航白名单绕过 (dev-server URL 前缀匹配)，攻击者可控源可占据带特权权的窗口 #536 ## 漏洞概述主窗口的 `will-navigate` 守卫用一个未解析的原始字符串前缀比较 (`url.startsWith(webUrl)`) 来决定是否允许降级导航，而开发服务器地址 `http://127.0.0.1:5173…

精品

CVSS 7.2

rapyd-admin用户编辑模块越权漏洞分析

github.com · 2026-10-13

### 漏洞概述该网页截图显示了一个名为 `UsersEdit.php` 的文件，位于 `rapyd-admin` 项目的 `app/Modules/Auth/Livewire` 目录下。文件中存在一个潜在的安全漏洞，具体表现为在用户编辑功能中，对 `user_company_id` 和 `user_company_role` 字段的处理可能存在逻辑错误，导致非管理员用户可能绕过权限限制，修改其…

CVSS 8.7

React组件XSS漏洞分析: dangerouslySetInnerHTML未过滤输入

github.com · 2026-10-13

### 漏洞概述该网页截图展示了一个名为 `TemplatesPane.tsx` 的文件，其中包含一个潜在的安全漏洞。漏洞涉及在模板编辑和创建过程中，未对用户输入进行充分的验证和过滤，可能导致恶意代码注入或数据泄露。 ### 影响范围 - **影响组件**：`TemplatesPane` 组件 - **影响功能**：模板的创建、编辑和预览功能 - **潜在风险**：恶意用户可能通过构造特殊的输入…

CVSS 8.2

IBM Power Systems 固件 RCE 漏洞 CVE-2026-96264

www.ibm.com · 2026-10-13

# IBM Power Systems 固件漏洞（CVE-2026-96264） ## 漏洞概述 - **漏洞ID**: CVE-2026-96264 - **描述**: Power Systems 固件在服务处理器邮箱接口中存在漏洞。攻击者通过向 FSP 发送特制的邮箱消息，可溢出主机固件运行时属性存储，从而在主机固件运行时执行任意代码。 - **影响**: 攻击者可获得对受管系统的内存和硬件接…

CVSS 8.2

IBM Power Systems Firmware内存越界读写漏洞(CVE-2026-96265)及修复指南

www.ibm.com · 2026-10-13

### 漏洞概述 - **漏洞ID**: CVE-2026-96265 - **描述**: Power Systems Firmware 在服务处理器邮箱接口中存在一个漏洞。具有认证服务级别访问权限的攻击者可以发送特制的邮箱消息来读取或修改 Hostboot 内存的任意区域，从而破坏主机固件引导加载程序，并随后加载hypervisor。成功利用会导致机密性、完整性和可用性影响。 - **CWE**…

CVSS 7.3

IBM Power Systems 固件配置解析导致栈崩溃漏洞 (CVE-2026-96261)

www.ibm.com · 2026-10-13

# IBM Power Systems 固件漏洞（CVE-2026-96261） ## 漏洞概述 - **漏洞编号**：CVE-2026-96261 - **描述**：Power Systems 固件在主机固件配置解析中存在漏洞。攻击者通过具有认证服务级别访问权限的服务处理器，可以写入特制的配置数据，导致主机固件启动栈崩溃，并可能在系统初始化期间造成内存损坏，从而影响系统的完整性和可用性。 - *…

精品

CVSS 8.2

IBM Power System 固件远程代码执行漏洞 (CVE-2026-96262)

www.ibm.com · 2026-10-13

# IBM Power System 固件漏洞 (CVE-2026-96262) ## 漏洞概述 IBM Power Systems 固件在服务处理器（FSP）邮箱接口中存在一个漏洞。攻击者通过发送特制的邮箱消息，可以溢出主机固件运行时属性存储，从而在主机固件运行时执行任意代码。 ## 影响范围 - **受影响产品**： - PowerVM Hypervisor (FW1060.00 - FW10…

CVSS 8.2

IBM PowerVM 固件映像验证绕过导致RCE (CVE-2026-96263)

www.ibm.com · 2026-10-13

# 漏洞概述 - **漏洞ID**: CVE-2026-96263 - **漏洞描述**: Power Systems Firmware 在主机固件引导过程映像验证路径中存在漏洞。具有服务处理器访问权限的攻击者可以提供恶意构造的代码更新映像，允许任意代码在主机系统上执行。成功利用可能导致主机系统的机密性、完整性和可用性影响。 - **CVSS 基础评分**: 8.2 - **CVSS 向量**: …

CVSS 8.7

EdgeEver Desktop导航允许列表绕过漏洞(PoC)

www.vulncheck.com · 2026-10-13

# EdgeEver Desktop 1.6.26 至 1.112.0 导航允许列表绕过漏洞 ## 漏洞概述 EdgeEver Desktop 1.6.26 至 1.112.0 版本中存在一个导航允许列表绕过漏洞。该漏洞允许攻击者通过 `will-navigate` 事件绕过安全限制，可能导致未授权访问或数据泄露。 ## 影响范围 - **受影响版本**：EdgeEver Desktop 1.6.…

精品

CVSS 9.8

Python命令注入漏洞分析及修复方案 (#2319)

github.com · 2026-10-13

### 漏洞概述 - **漏洞类型**：命令注入漏洞 - **漏洞编号**：#2319 - **发现者**：aydinnynus - **发现时间**：2025年4月25日 ### 影响范围 - **受影响代码**： ```python os.system("ffmpeg -i %s -vn -q:a 2 -y %s (path, opt_format_path)") ``` - **漏洞原因**…

CVSS 7.5

cbor-sync 库 CBOR 数组未限制分配导致 OOM 漏洞

github.com · 2026-10-13

# 漏洞概述 - **漏洞标题**: Array count drives unbounded allocation; out-of-memory abort under a constrained heap (library appears unmaintained) #6 - **漏洞描述**: 在解码CBOR数组时，`cbor-sync`库从声明的数组计数分配内存，而不是在读取或验证元素之前…

精品

CVSS 9.8

GPT-SoVITS 音频处理命令注入漏洞 (RCE) 分析

github.com · 2026-10-13

### 漏洞概述该漏洞涉及在 `GPT-SoVITS` 项目中，当使用 `ffmpeg` 命令处理音频文件时，如果文件名或路径中包含特殊字符（如空格、引号等），可能会导致命令注入漏洞。具体来说，漏洞出现在 `vrpy` 文件中，当处理音频文件时，`ffmpeg` 命令的构建过程没有正确转义文件名或路径中的特殊字符，从而允许攻击者通过构造恶意文件名来执行任意命令。 ### 影响范围 - **受影响…

精品

CVSS 8.8

Nginx-UI 2FA/Passkey劫持漏洞(CVSS 8.8)及补丁

github.com · 2026-10-13

### 漏洞概述 **漏洞名称**: TOTP / passkey 注册无需重新认证，导致持久性账户接管 **漏洞描述**: - 绑定TOTP密钥（POST /api/otp/enroll）或注册WebAuthn passkey（POST /api/begin_passkey_register）的端点仅需有效的JWT。 - 当前没有密码重新提示，路由明确注册在`RequireSecureSessi…

CVSS 8.1

easy-pdf-merge 远程代码执行漏洞及PoC

github.com · 2026-10-13

### 漏洞概述在 `easy-pdf-merge` 模块中，存在远程代码执行（RCE）漏洞。该漏洞是由于用户提供的输入在命令中被格式化并执行，而没有进行任何检查或清理。具体来说，使用了 `exec()` 函数，该函数在接收用户输入时容易受到命令注入攻击。 ### 影响范围 - **版本影响**：所有版本 - **严重程度**：高 - **原始 Pull Request**：[418sec#1]…

CVSS 8.1

easy-pdf-merge命令注入漏洞修复说明

github.com · 2026-10-13

### 漏洞概述该漏洞涉及在 `easy-pdf-merge` 项目中，由于使用 `exec` 命令执行 Java 命令时，路径中包含空格导致命令注入风险。具体表现为，当路径中包含空格时，`exec` 命令会破坏路径，导致命令执行失败或产生意外行为。 ### 影响范围 - **受影响版本**：`easy-pdf-merge` 项目中的 `command` 模块。 - **触发条件**：当路径中包…

精品

CVSS 8.1

easy-pdf-merge JS库命令注入漏洞分析

github.com · 2026-10-13

### 漏洞概述该网页截图展示了一个名为 `easy-pdf-merge` 的项目中的代码文件 `PDFMerger.js`。代码中存在一个潜在的安全问题，具体表现为在处理 Java 命令时可能引入额外的空格，这可能导致命令注入或其他安全问题。 ### 影响范围 - **影响范围**：所有使用 `easy-pdf-merge` 库的应用程序，特别是那些依赖于 `PDFMerger.js` 文件进…

CVSS 8.1

easy-pdf-merge Node.js 模块路径遍历漏洞分析

github.com · 2026-10-13

### 漏洞概述该网页截图中提到的项目 `easy-pdf-merge` 是一个用于合并多个 PDF 文件的 Node.js 模块。然而，该项目目前不再维护，并且存在一个潜在的安全问题：在处理文件路径时，如果用户提供的路径不是绝对路径，可能会导致路径遍历漏洞（Path Traversal Vulnerability）。 ### 影响范围 - **受影响版本**：所有使用 `easy-pdf-me…

精品

CVSS 5.9

Flower OAuth认证绕过与CSRF缺失漏洞(CVE-2022-30034)

github.com · 2026-10-13

### 漏洞概述 - **漏洞名称**: Security Vulnerabilities in Flower: OAuth Authentication Bypass and Lack of CSRF Protections (CVE-2022-30034) #1217 - **漏洞类型**: OAuth 认证绕过和缺乏 CSRF 保护 - **发现时间**: 2022年5月27日 - **公开…

CVSS 5.9

Flower Cookie认证CSRF防护修复

github.com · 2026-10-13

### 漏洞概述该网页截图展示了一个关于Cookie认证会话的CSRF（跨站请求伪造）保护漏洞的修复。漏洞存在于Flower项目中，具体涉及对Cookie认证会话的CSRF保护不足。 ### 影响范围 - **Flower项目**：所有使用Cookie认证会话的Flower实例。 - **OAuth会话**：仅当使用OAuth会话时，才会受到此漏洞的影响。 - **API客户端**：未认证的AP…

CVSS 5.9

Flower会话Cookie安全修复(HttpOnly/SameSite)

github.com · 2026-10-13

### 漏洞概述该漏洞涉及在设置会话cookie时，未正确配置`HttpOnly`和`SameSite`属性，可能导致cookie被恶意脚本读取或跨站请求伪造（CSRF）攻击。 ### 影响范围 - **文件**：`flower/views/__init__.py` 和 `tests/unit/views/test_cookies.py` - **具体位置**：`set_secure_cooki…

每篇文章经过自动 HTML→Markdown 清洗 + LLM 去噪 + 中英双语翻译。原始链接保留在文章末尾。

想看哪个安全博客 / 公告源？邮件告诉我们，每周新接 1-2 个。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

安全情报专区 74403+

目标达成感谢每一位支持者 — 我们达成了 100% 目标！