Prometheus vulnerable to stored XSS via crafted histogram bucket label values in the old web UI heatmap display
### Impact In the Prometheus server's legacy web UI (enabled via the command-line flag `--enable-feature=old-ui`), the
2026-05-06 归档
今日共收录 1285 条安全情报，包含 277 个 CVE，391 篇安全通告，以及 322 篇研究论文。
← 返回归档列表For Human Ears Only: Preventing Automated Monitoring on Voice Data.
该论文针对语音数据面临的自动监听和隐私泄露问题，提出了一种防御性技术，旨在使自动化监控系统难以从语音信号中提取敏感信息，同时保持人类听觉的可理解性。研究背景在于智能设备和语音助手广泛普及，导致语音数据被第三方自动收集和分析的风险增加。核心方
SNPeek: Side-Channel Analysis for Privacy Applications on Confidential VMs.
本文针对机密虚拟机（Confidential VMs）中的隐私应用，提出了一种侧信道分析方法 SNPeek。侧信道攻击能够利用物理或逻辑侧信道泄漏敏感信息，对机密计算环境构成威胁。文章可能分析了在可信执行环境（TEE）中运行的隐私保护应用（
Pando: Extremely Scalable BFT Based on Committee Sampling.
该论文题为《Pando: 基于委员会采样的极可扩展拜占庭容错共识》，主要研究如何通过委员会采样技术大幅提升拜占庭容错（BFT）共识协议的可扩展性。传统BFT协议在节点数量增加时性能急剧下降，难以应用于大规模网络。Pando提出了一种新的委员
Constructive Noise Defeats Adversarial Noise: Adversarial Example Detection for Commercial DNN Services.
本文针对商用深度学习服务中的对抗样本检测问题，提出了一种名为“建设性噪声”的新型防御方法。该方法通过向输入数据添加精心设计的噪声，使得正常样本和对抗样本在模型内部表示上产生可区分的差异，从而有效检测出对抗扰动。核心思路是利用噪声的构造性来对
Cryptobazaar: Private Sealed-bid Auctions at Scale.
由于未提供论文摘要，无法生成详细内容。根据标题推测，该论文研究了在规模化的密封投标拍卖中实现隐私保护的方法，可能涉及密码学协议如多方计算或可验证延迟函数。
On the Security Risks of Memory Adaptation and Augmentation in Data-plane DoS Mitigation.
该论文针对数据平面DoS缓解机制中内存自适应与增强技术可能引入的安全风险进行了系统研究。数据平面通常使用基于内存的数据结构（如sketch、哈希表）来统计和识别异常流量，然而动态调整内存大小或增强功能（例如为了适应流量变化而扩展内存）可能被
Connecting the Dots: An Investigative Study on Linking Private User Data Across Messaging Apps.
该论文针对跨消息应用（如 WhatsApp、Telegram、Signal 等）之间用户私人数据的关联问题进行了系统性研究。研究背景是，用户在不同平台上使用相同的用户名、电话号码、头像等元数据，可能被攻击者或第三方用于跨平台追踪和画像。作者
QNBAD: Quantum Noise-induced Backdoor Attacks against Zero Noise Extrapolation.
该论文提出了一种名为QNBAD的新型后门攻击方法，针对量子计算中的零噪声外推（ZNE）误差缓解技术。ZNE通过外推零噪声极限来估计理想结果，而QNBAD利用量子噪声的物理特性，在训练过程中恶意注入噪声模式，使得模型在正常输入下表现正常，但在
Faster Than Ever: A New Lightweight Private Set Intersection and Its Variants.
该论文提出了一种新的轻量级私有集合交集（Private Set Intersection, PSI）协议及其变体。PSI 协议允许两方在不泄露各自集合多余信息的情况下计算交集的公共元素，广泛应用于隐私保护的数据匹配、联系人发现、广告转化率等
Unveiling BYOVD Threats: Malware's Use and Abuse of Kernel Drivers.
由于未提供论文abstract，无法生成摘要。
CELLSHIFT: RTT-Aware Trace Transduction for Real-World Website Fingerprinting.
由于未提供论文摘要，无法生成详尽的中文摘要。
Phishing in Wonderland: Evaluating Learning-Based Ethereum Phishing Transaction Detection and Pitfalls.
（暂无可用摘要）
ZK-Value: A Practical Zero-Knowledge System for Verifiable Data Valuation
数据估值是数据市场中的核心任务，Shapley值归因用于决定买方的付款如何在数据提供者之间分配。传统上，市场运营商独立执行归因，但要求参与者和外部审计员信任无法在底层私有数据上独立重算的分数。零知识证明（ZKP）理论上可以协调隐私与可验证性
A Validated Prompt Bank for Malicious Code Generation: Separating Executable Weapons from Security Knowledge in 1,554 Consensus-Labeled Prompts
现有针对语言模型在恶意代码生成任务上的拒绝行为评测基准，常常将“请求生成可执行恶意软件”与“请求有害安全知识”混为一谈。这种混淆会导致两种请求类型在安全对齐模型中触发不同的拒绝路径，而基于混合提示计算出的单一拒绝率无法单独衡量任何一类。本文
PHANTOM: Polymorphic Honeytoken Adaptation with Narrative-Tailored Organisational Mimicry
本文提出 PHANTOM（Polymorphic Honeytoken Adaptation with Narrative-Tailored Organisational Mimicry），一种生成上下文逼真的蜜令牌（honeytoken）
InsureConnect: Blockchain and Digital Identity for the Property Insurance Market
本文提出了 InsureConnect，一个基于区块链的系统，旨在提高财产保险工作流在自然灾害后的透明度、可认证性和可审计性。该系统结合了自我主权身份（SSI）、去中心化标识符（DID）、可验证凭证（VC）、卫星图像、Hyperledger
Masa CMS is an open source content management system. In versions 7.2.0 through 7.2.9, 7.3.0 through 7.3.14, 7.4.0 through 7.4.9, and 7.5.0 through 7.5.2, the unauthenticated JS...
CVE-2026-40331
Masa CMS is an open source content management system. In versions 7.2.0 through 7.2.9, 7.3.0 through 7.3.14, 7.4.0 throu
Tunnelblick is an open source graphic user interface for OpenVPN on macOS. In versions 3.3beta26 through 9.0beta01, any local user can read arbitrary root-owned files by exploit...
CVE-2026-31893
Tunnelblick is an open source graphic user interface for OpenVPN on macOS. In versions 3.3beta26 through 9.0beta01, any
ModSecurity is an open source, cross platform web application firewall (WAF) engine for Apache, IIS and Nginx. Libmodsecurity is one component of the ModSecurity v3 project. A s...
CVE-2026-30923
ModSecurity is an open source, cross platform web application firewall (WAF) engine for Apache, IIS and Nginx. Libmodsec