Poisoned Ruby Gems and Go Modules Exploit CI Pipelines for Credential Theft
A new software supply chain attack campaign has been observed using sleeper packages as a conduit to subsequently push m
2026-05-02 归档
今日共收录 1052 条安全情报，包含 324 个 CVE，429 篇安全通告，以及 17 篇研究论文。
← 返回归档列表PEARL: Plausibly Deniable Flash Translation Layer using WOM coding.
该论文提出了一种名为PEARL的闪存转换层（FTL）设计，旨在为NAND闪存设备提供可拒绝否认（Plausible Deniability, PD）的数据保护能力。传统加密在面对能够胁迫用户交出密钥的强敌时失效，而PD机制通过隐藏敏感数据的
SHARD: Fine-Grained Kernel Specialization with Context-Aware Hardening.
本文提出 SHARD，一种细粒度内核专业化框架，结合上下文感知强化技术，旨在解决操作系统内核中安全策略的粗粒度问题。传统内核安全机制（如SELinux、AppArmor）通常基于全局策略，难以应对复杂多变的攻击面。SHARD 通过动态分析内
hbACSS: How to Robustly Share Many Secrets.
本文针对多方计算（MPC）在实际部署中缺乏完全鲁棒性（即保证输出交付，即使在网络存在间歇性延迟的离线阶段）的问题，指出理论上的MPC构造虽已能实现鲁棒性，但实践中的瓶颈在于缺乏高效的可验证/完全秘密共享（VSS/CSS）协议。现有CSS协议
COOPER: Testing the Binding Code of Scripting Languages with Cooperative Mutation.
该论文针对脚本语言与底层原生代码之间的绑定层（binding layer）存在的安全性问题展开研究。脚本语言（如JavaScript）被广泛集成到商业软件中，用于支持动态文件修改（例如Adobe Acrobat通过JavaScript操作P
Faster Verification of Faster Implementations: Combining Deductive and Circuit-Based Reasoning in EasyCrypt.
论文提出了一种混合形式化验证方法，结合高层演绎推理和电路级推理，用于高度优化的加密汇编代码。该方法在 EasyCrypt 证明助手中扩展实现，通过使用等价性检查将安全保障传播到同一计算的不同优化或不同架构的实现中，从而降低低级别函数的证明工
Towards Programming Languages Free of Injection-Based Vulnerabilities by Design.
本文从形式语言理论的角度出发，针对基于注入的漏洞（如SQL注入、命令注入等）提出了一种新的防御思路。当前许多系统通过将用户输入与开发者编写的固定模板拼接来构造结构化命令（如SQL查询、XML文档或网络消息），但恶意用户可能通过精心构造输入改
PhishPrint: Evading Phishing Detection Crawlers by Prior Profiling.
该论文提出了一种名为 PhishPrint 的新颖攻击方法，旨在通过预先分析（Prior Profiling）来规避钓鱼检测爬虫的识别。传统上，钓鱼检测系统依赖网络爬虫定期扫描并分析网页内容，以发现钓鱼页面。然而，攻击者可以通过逆向工程或试
Hazard Integrated: Understanding Security Risks in App Extensions to Team Chat Systems.
本文针对团队聊天（TACT）系统中第三方应用扩展的安全风险进行了系统性研究。团队聊天系统（如Slack、Microsoft Teams、钉钉等）已成为现代企业协作和项目管理的关键工具，其核心特色之一是支持集成第三方开发的应用程序，以扩展功能
Understanding Users' Security and Privacy Concerns and Attitudes Towards Conversational AI Platforms.
该论文旨在系统性地研究用户在使用对话式人工智能平台（如智能助手、聊天机器人）时对安全和隐私的担忧与态度。研究背景：随着对话式AI在家庭、办公等场景的普及，用户数据被大量收集和处理，引发了潜在的隐私泄露和安全风险。核心问题：用户对这些平台的具
In-Progress: Enhancing Traffic Signal Perception for Connected and Autonomous Vehicles (CAVs) via Multi-Sensor Fusion of Camera, LiDAR, Radar, and SPaT Data.
该论文探讨了如何通过多传感器融合技术提升联网和自动驾驶车辆（CAVs）对交通信号的感知能力。传统方案依赖单一传感器（如摄像头）检测信号灯，易受光照、天气等环境因素影响。作者提出一种融合摄像头、LiDAR、雷达以及SPaT（信号相位与时序）数
无人机开源飞控 PX4-Autopilot堆栈溢出漏洞 CVE-2025-15150
CVE-2025-15150
无人机开源飞控 PX4-Autopilot堆栈溢出漏洞 CVE-2025-15150
MongoDB内存泄漏 CVE-2025-14847(MongoBleed)
CVE-2025-14847
MongoDB内存泄漏 CVE-2025-14847(MongoBleed)
1Panel 代理证书验证绕过导致任意命令执行漏洞(CVE-2025-54424)
CVE-2025-54424
1Panel 代理证书验证绕过导致任意命令执行漏洞(CVE-2025-54424)
ModelContext Inspector 未授权访问漏洞(CVE-2025-49596)
CVE-2025-49596
ModelContext Inspector 未授权访问漏洞(CVE-2025-49596)
llamaindex SQL 注入漏洞(CVE-2025-1750)
CVE-2025-1750
llamaindex SQL 注入漏洞(CVE-2025-1750)
Screen 本地权限提升漏洞(CVE-2025-23395)
CVE-2025-23395
Screen 本地权限提升漏洞(CVE-2025-23395)
Craft CMS 验证后模版注入导致远程命令执行漏洞(CVE-2025-46731)
CVE-2025-46731
Craft CMS 验证后模版注入导致远程命令执行漏洞(CVE-2025-46731)
Zabbix认证后SQL注入漏洞(CVE-2024-42327)
CVE-2024-42327
Zabbix认证后SQL注入漏洞(CVE-2024-42327)
ProjectSend认证绕过漏洞(CVE-2024-11680)
CVE-2024-11680
ProjectSend认证绕过漏洞(CVE-2024-11680)