目标: 1000 元 · 已筹: 1336 元
精选漏洞公告、利用分析、安全博客、GHSA Advisory 等情报来源，已自动清洗 + 中英双语呈现，持续更新。
### 漏洞概述 该漏洞涉及在构建AWS ALB JWKs URL之前，未对JWT的“kid”进行URL编码，导致路径遍历/注入（SSRF）漏洞。攻击者可以通过构造恶意请求，利用未编码的“kid”参数，绕过签名验证，从而访问不受信任的资源。 ### 影响范围 - **组件**：OpenIDC/liboath2 - **版本**：v2.3.0 - **漏洞类型**：路径遍历/注入（SSRF） - *…
### 漏洞概述 - **漏洞名称**: Invoice Generator <= 1.0.0 - Unauthenticated Privilege Escalation via Account Takeover via 'user_id' Parameter - **CVE ID**: CVE-2026-12415 - **CVSS评分**: 9.8 (Critical) - **发布日期**…
### 漏洞概述 - **漏洞名称**：NetNut Proxy Platform, Popa Botnet - **漏洞描述**：美国联邦调查局（FBI）与行业合作伙伴合作，查封了与NetNut相关的数百个域名。NetNut是一个住宅代理服务平台，由以色列公司Alarum Technologies运营。该平台被用于分发恶意软件，导致至少200万台设备被感染。 ### 影响范围 - **受影响设备…
### 漏洞概述 该网页截图显示了一个名为 `my-calendar` 的 WordPress 插件的源代码文件 `my-calendar.php`。文件中提到该插件存在一个安全漏洞，具体为 **SQL 注入漏洞**。此漏洞允许攻击者通过构造恶意输入来执行任意 SQL 命令，从而可能获取数据库中的敏感信息或进行其他恶意操作。 ### 影响范围 - **插件版本**：受影响的插件版本为 3.7.14…
### 漏洞概述 该漏洞涉及 `my-calendar` 插件的 API 功能，具体在 `my-calendar-api.php` 文件中。漏洞允许未经身份验证的用户通过 API 获取敏感数据，包括事件详情、用户信息等。 ### 影响范围 - **受影响版本**：`my-calendar` 插件版本 3.7.14 及以下。 - **影响功能**：API 接口，特别是 `/my-calendar-a…
### 漏洞概述 该漏洞涉及 `my-calendar` 插件的 API 功能，具体在 `my-calendar-api.php` 文件中。漏洞允许未经身份验证的用户通过构造特定的请求参数，获取敏感信息或执行未授权的操作。 ### 影响范围 - **受影响版本**：`my-calendar` 插件版本 3.7.14 及以下。 - **影响功能**：API 接口，特别是 `/tags/3.7.14/…
### 漏洞概述 该网页截图显示了一个名为 `my-calendar` 的 WordPress 插件的源代码文件 `date-utilities.php`。文件中存在一个潜在的安全漏洞，具体涉及日期和时间处理的逻辑错误。 ### 影响范围 - **插件版本**：3.7.14 - **受影响的功能**：日期和时间处理相关的功能，特别是 `mc_date_compare` 和 `mc_date_dif…
### 漏洞概述 该漏洞涉及 `my-calendar` 插件的 API 功能，具体在 `my-calendar-api.php` 文件中。漏洞允许未授权的用户通过构造特定的请求参数，获取敏感信息或执行未授权的操作。 ### 影响范围 - **插件版本**：`my-calendar` 插件的 `3.7.1` 版本及之前版本。 - **受影响的功能**：API 接口 `my_calendar_api…
### 漏洞概述 该网页截图显示了一个名为 `my-calendar` 的 WordPress 插件的源代码文件 `date-utilities.php`。文件中存在一个潜在的安全漏洞，具体表现为在日期比较和计算过程中可能存在的逻辑错误或边界条件处理不当。 ### 影响范围 - **插件版本**：该漏洞存在于 `my-calendar` 插件的 `trunk` 分支中，具体版本为 3.7.11。 …
### 漏洞概述 - **漏洞类型**：OS命令注入 - **漏洞位置**：`wp_db_exclude_table` 参数 - **发现者**：Ivan Kusuma (Wordfence) - **修复时间**：2026年6月16日 - **版本**：7.12 ### 影响范围 - **受影响插件**：wp-database-backup - **受影响文件**： - `wp-database…
### 漏洞概述 该网页截图显示了一个名为 `AppointmentNew.php` 的文件，属于 `wappointment` 插件的 `2.7.6` 版本。文件中存在一个潜在的安全漏洞，具体表现为在 `createAppointmentData` 函数中，用户输入的数据（如 `$data` 和 `$slots`）未经充分验证就直接用于创建预约数据。这可能导致恶意用户通过构造特定的输入来执行未授…
### 漏洞概述 该网页截图显示的是WordPress插件目录中一个名为“wappointment”的插件的源代码文件`Client.php`。文件中存在一个潜在的安全漏洞，具体表现为在`hasActiveBooking`函数中，SQL查询语句未对用户输入进行适当的过滤和转义，可能导致SQL注入攻击。 ### 影响范围 - **插件名称**：wappointment - **文件路径**：`tag…
### 漏洞概述 该漏洞涉及 `wpappointment` 插件中的 `AppointmentNew.php` 文件，具体位于 `2.7.5` 版本。漏洞可能存在于插件的某些功能中，导致潜在的安全风险。 ### 影响范围 - **插件名称**: `wpappointment` - **受影响版本**: `2.7.5` - **文件路径**: `tags/2.7.5/app/Services/Ap…
### 漏洞概述 该网页截图显示了一个名为 `AppointmentNew.php` 的文件，属于 `wappointment` 插件的 2.7.6 版本。文件中存在一个潜在的安全漏洞，具体表现为在 `createAppointmentData` 函数中，未对用户输入进行充分验证和过滤，可能导致 SQL 注入或其他安全问题。 ### 影响范围 - **插件版本**：wappointment 2.7…
### 漏洞概述 该网页截图显示了一个名为 `wappointment` 的插件的源代码文件 `AppointmentNew.php`。文件中存在一个潜在的安全漏洞，具体表现为在 `public static function createOrder($data, $client, $status, $admin = false, $status = 0, $adminBooked = false…
### 漏洞概述 该漏洞涉及WordPress插件“Appointment”中的多个安全问题，包括SQL注入、跨站脚本（XSS）和文件包含漏洞。这些漏洞可能导致攻击者执行恶意代码、窃取用户数据或控制服务器。 ### 影响范围 - **受影响版本**：所有使用“Appointment”插件的WordPress网站。 - **具体文件**： - `app/Models/AppointmentRecur…
### 漏洞概述 该漏洞涉及WordPress插件“Groundhogg”中的SQL注入问题。具体来说，漏洞位于`query.php`文件的`set_query_params`方法中。攻击者可以通过构造特定的查询参数，绕过现有的安全措施，执行任意SQL命令。 ### 影响范围 - **受影响版本**：Groundhogg插件的4.5.8版本及之前版本。 - **影响平台**：使用Groundhog…
### 漏洞概述 该漏洞涉及WordPress插件`groundhogg`中的SQL注入问题。具体来说，漏洞位于`query.php`文件的`set_query_params`方法中，该方法用于设置查询参数。由于对用户输入的处理不当，攻击者可以通过构造恶意输入来执行任意SQL命令。 ### 影响范围 - **受影响版本**：4.5.8及更早版本 - **受影响插件**：`groundhogg` -…
### 漏洞概述 该漏洞涉及 `groundhogg/tags/4.5.7/db/query/query.php` 文件中的 SQL 注入问题。具体来说，`set_query_params` 函数在处理查询参数时，未对用户输入进行充分验证和转义，导致攻击者可以通过构造恶意输入来执行任意 SQL 命令。 ### 影响范围 - **受影响版本**：Groundhogg 4.5.7 版本 - **影响模…
### 漏洞概述 该网页截图展示了一个名为“product-video-gallery-slider-for-woocommerce”的WordPress插件的源代码文件 `class-video-field.php`。文件中存在一个潜在的安全漏洞，具体表现为在 `public function save_wc_video_field($post_id)` 函数中，未对用户输入进行充分的验证和清理…
每篇文章经过自动 HTML→Markdown 清洗 + LLM 去噪 + 中英双语翻译。原始链接保留在文章末尾。
想看哪个安全博客 / 公告源？邮件告诉我们，每周新接 1-2 个。