目标: 1000 元 · 已筹: 1336 元
精选漏洞公告、利用分析、安全博客、GHSA Advisory 等情报来源，已自动清洗 + 中英双语呈现，持续更新。
### 漏洞概述 OpenEXRCore 库中的 `exr_attr_set_bytes()` 函数存在一个空指针解引用漏洞。当调用者提供 `hint_length > 0` 且 `type_hint == NULL` 时，该函数会尝试复制 `type_hint` 指针，导致空指针解引用。此漏洞可通过公共 OpenEXRCore C API 触发，造成确定性崩溃或服务拒绝。 ### 影响范围 - …
根据提供的网页截图，以下是关于漏洞的关键信息总结： ### 漏洞概述 - **标题**: The State of AI-Enabled Malware August 2026: From Brand Abuse to Agentic Execution - **发布日期**: August 28, 2026 - **作者**: Sara McIlhenny - **分类**: Malware, …
# TYPO3 Apache Solr 信息泄露漏洞 ## 漏洞概述 - **漏洞名称**: TYPO3 APACHE SOLR UP TO 11.6.5/12.1.3/13.1.3 SITEHASH FILTER ADDITIONALFILTERS INFORMATION DISCLOSURE - **漏洞描述**: 在 TYPO3 Apache Solr 11.6.5/12.1.3/13.1.…
### 漏洞概述 - **漏洞名称**: CHECKMK UP TO 2.2.0/2.3.0P49/2.4.0P35/2.5.0P11 IMPROPER AUTHORIZATION - **CVE编号**: CVE-2026-17548 - **CVSS Meta Temp Score**: 4.1 - **当前利用价格**: $0-$5k - **CTI Interest Score**: 1.…
### 漏洞概述 OX Security 发现并追踪了一个名为 ClickFix 的虚假 Cloudflare 验证码活动，该活动通过 npm 注册表分发恶意软件。研究发现，共有 24 个恶意包共享相同的恶意代码，这些包通常在被移除前每周下载量在 50-300 次之间。 ### 影响范围 - **受影响包**：24 个 npm 包，具体包括 `bgzxcute2`, `przdentlfxkew`…
### 漏洞概述 - **漏洞名称**: FishCodeTech Muteki 0.2.5 默认本地工作后端 `.claude/settings.json` OS 命令注入 - **漏洞编号**: CVE-2026-79623 - **严重程度**: 关键（Critical） - **描述**: 在 FishCodeTech Muteki 0.2.5 中发现了一个关键漏洞，影响的是 `Defau…
### 漏洞概述 - **漏洞名称**: DEKDEE ADOBE-XD-MCP 1.0.0 FILE-ACCESS-FROM-REQUEST ENDPOINT SRC/PARSERS/XD-PARSER.TS OUTPUTFILE/OUTPUTDIR PATH TRAVERSAL - **漏洞类型**: 路径遍历（Path Traversal） - **影响等级**: 严重（Critical） …
# 漏洞概述 - **漏洞名称**: Unhandled assert abort in HT2JK decoder via crafted QCD marker (DoS) - **漏洞类型**: 拒绝服务 (DoS) - **漏洞描述**: 一个精心构造的HT2JK压缩EXR文件会导致未处理的进程中止(SIGABRT)。触发器是解析代码流时遇到的QCD标记，其中`Sqpd & OULF = 0…
### 漏洞概述 该网页截图展示了OpenEXR库v3.4.13版本的发布说明，其中包含多个安全漏洞的修复。这些漏洞涉及解码DWAA压缩、处理深图像和大图像、B4AA解码初始化、HT2K chunk header长度验证、静态构建时使用vendored OpenJPH库、Python模块中的NumPy标量值绑定、以及多个CVE编号的安全漏洞。 ### 影响范围 - **DWAA压缩解码**：修复了…
### 漏洞概述 **漏洞名称**: HT2JK SIZ image-offset gap stack buffer overflow **描述**: 在解码HT2K压缩的EXR文件时，OpenEXR v3.4.13版本存在一个栈缓冲区溢出漏洞。该漏洞发生在解码过程中，由于对HT2K解码器的调用导致无效的tileblock geometry，从而引发栈缓冲区溢出。 ### 影响范围 - **受影响…
# 多个漏洞在 Android 3.0 中 ## 概述 Android 3.0 中存在多个漏洞，包括： - **CVE-2011-1522**：Android 3.0 中的 `com.android.server.am.ActivityManagerService.java` 中的空指针解引用漏洞。 - **CVE-2011-1523**：Android 3.0 中的 `com.android.s…
### 漏洞概述 - **漏洞标题**: Submit #886395: faveosuite faveo-helpdesk Commit: 6568aa4 External Control of System or Configuration Setting - **描述**: Faveo Helpdesk的logo删除端点允许用户通过URL参数直接传递未经验证的`unlink()`路径，导致任…
### 漏洞概述 该漏洞涉及在刷新预订时，重复添加中止监听器（abort listeners），导致内存泄漏。具体表现为每次刷新预订时，都会为同一个信号（signal）添加一个新的中止监听器，而不是仅在信号创建时添加一次。 ### 影响范围 - **组件**：`packages/transport-circuit-relay-v2/src/server/reservation-store.ts` …
### 漏洞概述 **标题**: Circuit relay v2 server reservation refresh leaks abort listeners and allows remote resource exhaustion **描述**: - **摘要**: @libp2p/circuit-relay-v2 中继服务器在每次刷新现有资源预留时都会添加一个新的 abort 监听器。…
### 漏洞概述 - **漏洞编号**: #86394 - **漏洞标题**: favoe-suite favoe-helpdesk commit 6568aa4 Missing Authentication - **描述**: 在 `routes/web.php` 文件中，`POST /post-ticket-reply/{id}` 路由被注册在 `auth` 中间件组之外，而所有其他票证回复路…
# WordPress ACPT (Pro) - Custom Post Types Plugin for WordPress 漏洞总结 ## 漏洞概述 - **漏洞名称**: WordPress ACPT (Pro) - Custom Post Types Plugin for WordPress <= 2.0.63 存在高危 PHP 对象注入漏洞 - **优先级**: 高优先级 - **CVS…
### 漏洞概述 - **CVE编号**: CVE-2026-78434 - **漏洞名称**: Helpdesk 中的 FormController:post_ticket_reply 端点存在身份验证绕过漏洞 - **漏洞描述**: 在 Faveo Helpdesk 2.0.3 及更早版本中，`FormController:post_ticket_reply` 端点存在身份验证绕过漏洞。该端点…
### 漏洞概述 - **漏洞名称**: WordPress MagicAI for WordPress - AI Text, Image, Chat, Code, and Voice Generator Plugin <= 1.4 存在高优先级本地文件包含（LFI）漏洞。 - **漏洞类型**: 本地文件包含（Local File Inclusion, LFI）。 - **优先级**: 高优先级…
### 漏洞概述 **漏洞名称**: Authenticated Arbitrary File Deletion in Faveo Helpdesk #8343 **漏洞类型**: 认证任意文件删除 **漏洞描述**: Faveo Helpdesk 的 logo 删除端点允许用户通过 URL 查询参数直接传递文件路径给 `unlink()` 函数，且没有进行任何路径验证。认证后的管理员用户可以删除…
### 漏洞概述 **标题**: Unauthenticated POST /post-ticket-reply/{id} allows thread injection under impersonated owner #8346 **描述**: 在Faveo Helpdesk中，`/post-ticket-reply/{id}`的POST请求未受认证中间件保护，导致攻击者可以冒充合法用户向工单…
每篇文章经过自动 HTML→Markdown 清洗 + LLM 去噪 + 中英双语翻译。原始链接保留在文章末尾。
想看哪个安全博客 / 公告源？邮件告诉我们，每周新接 1-2 个。