Malicious code in @beproduct/nestjs-auth (0.1.2 through 0.1.19) — Mini Shai-Hulud worm
CVE-2026-46412
## Summary Between 2026-05-11 20:19 UTC and 22:56 UTC, an attacker used a compromised npm publish token to publish 18 m
2026-05-20 归档
今日共收录 1110 条安全情报，包含 284 个 CVE，411 篇安全通告，以及 113 篇研究论文。
← 返回归档列表Kieback & Peter DDC Building Controllers
CVE-2026-4293
2026年5月19日，美国CISA发布ICS公告（ICSA-26-139-05），披露Kieback & Peter DDC系列楼宇控制器中存在一个存储型跨站脚本（XSS）漏洞（CVE-2026-4293，CVSS v3 5.3）。该漏洞源
Siemens RUGGEDCOM APE1808 Devices
CVE-2026-0300
CISA 发布了一份关于 Siemens RUGGEDCOM APE1808 设备的安全公告，该设备因集成了 Palo Alto Networks PAN-OS 软件而受到 CVE-2026-0300 漏洞的影响。该漏洞位于 PAN-OS
ZKTeco CCTV Cameras
CVE-2026-8598
CISA发布了一份ICS公告（ICSA-26-139-04），披露了ZKTeco CCTV摄像头中存在一个高危漏洞（CVE-2026-8598）。该漏洞涉及摄像头的一个未文档化的配置导出端口，无需身份验证即可访问，导致敏感信息泄露，包括开放
Ivanti Endpoint Manager Mobile代码注入漏洞
Ivanti Endpoint Manager Mobile存在代码注入漏洞。该组件用于移动设备管理，漏洞可能允许攻击者在系统上执行任意代码。由于缺乏公开细节，具体触发条件和影响范围尚不明确。
Huawei Secoway USG firewall weak password
根据知道创宇/Seebug漏洞库（SSVID-91373）的公告，华为Secoway USG防火墙存在弱密码漏洞。该漏洞可能允许攻击者通过猜测或暴力破解方式获取设备管理权限，进而控制防火墙、拦截或篡改网络流量。由于缺乏详细的技术描述，具体受
Yokogawa YFGW410 gateway
根据知道创宇/Seebug发布的漏洞信息（SSVID-90296），Yokogawa YFGW410网关存在一个安全漏洞。该公告未提供具体技术细节、漏洞成因或攻击向量，仅确认受影响产品为Yokogawa YFGW410网关。由于信息有限，无
Caddy Defender trusted proxy client IP bypass
CVE-2026-46415
### Impact Caddy Defender used `r.RemoteAddr` when evaluating whether a request should be blocked. `RemoteAddr` is the
Coder: Unauthenticated SSRF via Azure Instance Identity Endpoint
CVE-2026-45796
## Summary Unauthenticated semi-blind Server-Side Request Forgery (SSRF) via the Azure instance identity endpoint (`POS
Coder: PKCS#7 signature bypass in Azure instance identity allows unauthenticated agent token theft
CVE-2026-46354
## Summary `azureidentity.Validate()` verifies that the PKCS#7 signer certificate chains to a trusted Azure CA but neve
A Logic and an Interactive Prover for the Computational Post-Quantum Security of Protocols.
本文介绍了首个基于机械化证明的后量子安全协议验证方法。作者提出了PQ-BC，一种针对量子攻击者计算安全性的计算一阶逻辑，并实现了对应的机械化支持工具PQ-SQUIRREL。该工作基于经典的BC逻辑及其在SQUIRREL证明器中的机械化实现。
A Hard-Label Black-Box Evasion Attack against ML-based Malicious Traffic Detection Systems.
这篇论文研究的是针对基于机器学习的恶意流量检测系统的黑盒逃避攻击。现有攻击方法通常依赖严格的条件（如加密协议、Tor或特殊设置）或需要目标模型的内部知识（如训练数据、模型参数），在实际黑盒场景中难以实现。作者提出了一种名为NetMasque
Citrix NetScaler 内存泄漏(CVE-2025-5777)
CVE-2025-5777
Citrix NetScaler 内存泄漏(CVE-2025-5777)
MCP Gateway: Authority-injection and JWT/session bypass via the unauthenticated router hair-pin "router-key" / "mcp-init-host" path
## Summary The MCP router (ext_proc) exposes an `initialize`-method code path that, when a request carries an `mcp-ini
Caddy CVE-2026-30852 Fix Bypass
# ## TL;DR CVE-2026-30852 fixed double expansion in `vars_regexp` when the variable key is a placeholder (e.g. `{http
Kong Ingress Controller for Kubernetes (KIC): Cross-namespace TLS Secret Exfiltration in Gateways with GatewayClass missing `konghq.com/gatewayclass-unmanaged: 'true'` annotation
## Summary A vulnerability in the Kong Ingress Controller (KIC) allows for the unauthorized exfiltration of TLS certifi
PLANET VDR-300NU ADSL Router - 未授权修改DNS
PLANET VDR-300NU ADSL Router - 未授权修改DNS
Acknowledgements
Acknowledgements
多款Huawei路由器信息泄露漏洞
多款Huawei路由器信息泄露漏洞
Ledger Live with vulnerable versions of ledgerhq/hw-app-eth prior to 6.34.7 contains an integer...
CVE-2023-7345
Ledger Live with vulnerable versions of ledgerhq/hw-app-eth prior to 6.34.7 contains an integer parsing vulnerability th