目标: 1000 元，已筹: 1000 元
精选漏洞公告、利用分析、安全博客、GHSA Advisory 等情报来源，已自动清洗 + 中英双语呈现，持续更新。
# 漏洞总结：protobuf.js 任意代码执行 ## 漏洞概述 protobuf.js 在编译 protobuf 定义到 JS 函数时，攻击者可以通过操纵定义中的 `type` 字段注入任意代码。这些代码会在对象解码期间执行，从而导致远程代码执行。 ## 影响范围 - **受影响版本**：`=7.5.4` - **修复版本**：`8.0.1` 和 `7.5.5` ## 修复方案 升级到修复版本…
### 漏洞概述 - **CVE编号**: CVE-2026-40948 - **漏洞名称**: Apache Airflow Keycloak Provider: OAuth Login CSRF — Missing State Parameter in Keycloak Auth Manager - **严重程度**: 低 - **描述**: - 在 `apache-airflow-provi…
# 漏洞总结：Quick Interest Slider <= 3.1.5 未授权存储型跨站脚本 (XSS) ## 漏洞概述 * **漏洞名称**：Quick Interest Slider <= 3.1.5 - Unauthenticated Stored Cross-Site Scripting * **CVSS 评分**：7.2 (Improper Neutralization of Inp…
# 漏洞总结 ## 漏洞概述 **漏洞名称**：Apache ActiveMQ 远程代码执行漏洞 (CVE-2023-46604) **漏洞类型**：远程代码执行 (RCE) **漏洞描述**：Apache ActiveMQ 5.x 版本存在安全漏洞。攻击者可以通过构造恶意的 JMS 消息，利用 `ActiveMQBlobMessage` 类中的 `setBlobUrl` 方法，触发远程代码执行。…
# 漏洞总结：MAD Bugs: Even "cat readme.txt" is not safe ## 漏洞概述 这是一个针对 **iTerm2** 终端模拟器的安全漏洞。漏洞源于 iTerm2 的 SSH 集成功能（Conductor）存在信任失败（Trust Failure）。 * **原理**：iTerm2 在 SSH 会话中会解析特定的终端转义序列（OSC 135 和 DCS 2080…
### 漏洞概述 - **标题**: Updates exception to hide sql statements on constraint failure #63028 - **描述**: 该漏洞涉及在约束失败时隐藏SQL语句的异常处理。当`expose_stacktrace`标志为`false`时，异常处理程序现在会隐藏SQL语句。 ### 影响范围 - **影响版本**: 未明确提及具…
# iTerm2 SSH 集成漏洞总结 ## 漏洞概述 - **漏洞名称**: iTerm2 SSH 集成中的带内信令滥用漏洞 - **漏洞描述**: iTerm2 的 SSH 集成存在一个安全漏洞，攻击者可以通过构造特殊的命令前缀来执行任意命令。该漏洞允许攻击者在用户不知情的情况下执行恶意命令。 ## 影响范围 - **受影响版本**: 所有使用 iTerm2 进行 SSH 集成的用户 - **…
### 漏洞概述 - **漏洞名称**: Little CMS (lcms2) 的 `CubeSize()` 函数存在整数溢出漏洞。 - **漏洞描述**: `CubeSize()` 函数在计算 `CubeSize` 时，如果 `Dims` 数组中的值导致乘法溢出，会返回一个被包装的值。调用者根据这个错误的值分配了较小的 CLUT 缓冲区，但在后续处理中读取了超出缓冲区范围的数据，导致段错误（SI…
# CVE-2018-16435 漏洞总结 ## 漏洞概述 - **漏洞编号**: CVE-2018-16435 - **漏洞类型**: 整数溢出导致堆缓冲区溢出 - **漏洞描述**: 在 `src/cmusl.c` 的 `cmusl()` 函数中，`cmul()` 函数存在整数溢出漏洞。当 `x` 和 `y` 的值较大时，`x * y` 的结果会溢出，导致后续操作使用错误的值，从而引发堆缓冲区…
# CVE-2026-31280: Parani M10 Intercom 蓝牙 RFCOMM 漏洞总结 ## 漏洞概述 * **漏洞名称**: CVE-2026-31280: Insecure Bluetooth "RFCOMM" Leading to Device Crash in Parani M10 Intercom * **漏洞类型**: 不安全的蓝牙通信 (RFCOMM)、缓冲区溢出 …
# Debian Bug report logs - #930659 漏洞总结 ## 漏洞概述 - **漏洞编号**：#930659 - **漏洞类型**：熵源不足导致会话ID生成不安全 - **严重性**：重要（important） - **标签**：security - **报告日期**：2019年6月17日 - **修复版本**：libapache-session-perl/1.93-4 -…
# May 2020 jQuery Vulnerabilities in NetApp Products ## 漏洞概述 - **Advisory ID**: NTAP-20200511-0006 - **版本**: 22.0 - **最后更新**: 01/02/2024 - **状态**: Final - **CVEs**: CVE-2020-11022, CVE-2020-11023 ## 影…
# MAD Bugs: radare2 0-Day 漏洞总结 ## 漏洞概述 * **目标软件**: radare2 (r2)，一个开源的 CLI 逆向工程框架。 * **漏洞类型**: 命令注入 (Command Injection) 导致远程代码执行 (RCE)。 * **触发条件**: 当用户打开一个包含恶意符号名的 PE 二进制文件时触发。 * **根本原因**: 在 `r2` 的 `id…
# 漏洞总结 ## 漏洞概述 - **漏洞名称**：银狐FakeApp/CW等国产样本样本测试 - **漏洞类型**：恶意软件/后门程序 - **发现时间**：2025-12-30 - **漏洞描述**：多个国产软件样本被发现包含恶意代码，包括： - 后门程序（如wpfsrthfsrjsej.exe） - 木马程序（如360zip.exe、360udhea_x64.2.1.exe） - 间谍软件（…
# 漏洞总结 ## 漏洞概述 该网页讨论的是针对国产杀毒软件（如卡饭、瑞星、AVAST、McAfee、Microsoft Defender等）的**进程注入与杀软绕过技术**。通过构造恶意样本（FakeApp/CW），利用特定代码逻辑实现对杀毒软件进程的强制终止，从而绕过其监控和查杀机制。 ## 影响范围 - 受影响的杀毒软件包括： - 瑞星（Rising） - AVAST - McAfee - …
# Apache Airflow 漏洞总结 ## 漏洞概述 Apache Airflow 在使用已弃用的导入路径 `airflow.sdk.execution_time.secrets_masker` 时，未能正确屏蔽敏感信息。该旧路径重定向到仅屏蔽任务子进程中秘密的单一进程实现，而忽略了负责写入日志的 supervisor 进程。这导致在调用 `mask_secret()` 后，秘密信息仍会出现…
# 漏洞总结：qmail 远程代码执行漏洞 (CVE-2026-41113) ## 漏洞概述 * **漏洞类型**：远程代码执行 (RCE)。 * **触发机制**：利用 `notlshosts_auto` 功能。当 qmail 尝试投递邮件且远程服务器 TLS 连接失败时，该功能会自动将主机名写入文件。 * **利用原理**： 1. 攻击者注册一个包含单引号 `'` 的恶意域名（如 `x'`）。…
# WordPress 插件供应链攻击事件总结 ## 漏洞概述 攻击者收购了名为 "Essential Plugin" 的 WordPress 插件开发商，并在其 30 多个插件中植入了后门。攻击者通过 `wp-config.php` 文件注入恶意代码，利用区块链智能合约作为 C2 服务器，使传统的域名封锁无法生效。 ## 影响范围 - **受影响插件数量**：30+ 个插件 - **受影响网站*…
# Splunk Enterprise 用户账户创建时输入验证不当漏洞总结 ## 漏洞概述 - **标题**：Improper Input Validation during User Account Creation in Splunk Enterprise - **CVE ID**：CVE-2026-20202 - **CVSSv3.1 评分**：6.6（Medium） - **描述**：在特…
# OpenStack Identity (keystone) 漏洞总结 ## 漏洞概述 - **漏洞标题**: ldap identity backend 'enabled' setting not interpreted as boolean - **漏洞编号**: Bug #2111152 - **报告时间**: 2025-08-21 - **严重程度**: High - **状态**: F…
每篇文章经过自动 HTML→Markdown 清洗 + LLM 去噪 + 中英双语翻译。原始链接保留在文章末尾。
想看哪个安全博客 / 公告源？邮件告诉我们，每周新接 1-2 个。