From Scanner to Stealer: Inside the trivy-action Supply Chain Compromise
From Scanner to Stealer: Inside the trivy-action Supply Chain Compromise
2026-05-21 归档
今日共收录 1079 条安全情报，包含 251 个 CVE，425 篇安全通告，以及 115 篇研究论文。
← 返回归档列表Next-Gen Identity Security
Next-Gen Identity Security
CrowdStrike FalconID Brings Phishing-Resistant MFA to Falcon Next-Gen Identity Security
CrowdStrike FalconID Brings Phishing-Resistant MFA to Falcon Next-Gen Identity Security
Identity Alone Isn't Enough: Why Device Security Has to Share the Load
Identity checks alone can't stop attackers using stolen session tokens and compromised devices. Specops Software outline
"If I could do this, I feel anyone could: " The Design and Evaluation of a Secondary Authentication Factor Manager.
本文研究了次要认证因素（Secondary Authentication Factor，如硬件令牌、手机推送通知等）的管理问题。尽管多因素认证（MFA）已广泛应用，但用户管理多个认证因素（如备份码、更换设备后的重新绑定）仍面临可用性挑战。作
Going through the motions: AR/VR keylogging from user head motions.
本研究探讨了在增强现实/虚拟现实（AR/VR）环境中，利用用户的头部运动作为侧信道来窃取键盘输入。作者提出了一种攻击方法，通过分析用户佩戴AR/VR头显时自然产生的头部运动（如打字时头部微小的摆动），使用深度学习模型将运动模式映射到键盘按键
DLBox: New Model Training Framework for Protecting Training Data.
DLBox 是一种新型的模型训练框架，旨在保护训练数据的机密性。在当前的机器学习训练过程中，攻击者可能通过内存转储或侧信道攻击窃取敏感数据。DLBox 通过采用加密内存和安全执行环境，在 CPU 和 GPU 上实现端到端的防护。它利用 In
Exploring User Perceptions of Security Auditing in the Web3 Ecosystem.
本文旨在探索用户对Web3生态系统中安全审计的看法。研究采用问卷调查和半结构化访谈的方法，收集了来自Web3用户（包括投资者、开发者、普通用户）的数据，分析了他们对安全审计的认知、信任程度、以及审计报告对决策的影响。研究发现，用户普遍认为安
Mens Sana In Corpore Sano: Sound Firmware Corpora for Vulnerability Research.
该论文系统性地探讨了固件漏洞研究中语料库构建的科学性问题。作者指出，由于样本获取困难（如专有或加密数据）、内容未知、版权限制等挑战，现有固件语料库在可复现性、代表性和可靠性方面存在严重缺陷。他们首先分析了问题空间，提炼出影响语料库构建的实际
Detection of Inconsistencies in Privacy Practices of Browser Extensions.
本文提出了一种自动检测浏览器扩展隐私实践不一致性的系统 ExtPrivA。浏览器扩展在提供额外功能的同时，能够访问并收集用户数据。尽管扩展通过多种形式（如隐私政策和仪表板披露）告知用户其数据实践，但现有研究忽视了实际数据收集行为与隐私声明之
Blind Spots: Identifying Exploitable Program Inputs.
该论文定义了程序输入中的“盲点”（blind spots），即可以任意改变而不影响程序输出的输入部分。盲点可用于隐写术或嵌入恶意载荷，若重叠文件格式关键字则表明解析器存在可被利用的差分漏洞（例如同一文档在不同解析器中呈现不同结果）。作者形式
GPThreats-3: Is Automatic Malware Generation a Threat?
该论文探讨了大型文本模型（以GPT-3为代表）是否已被攻击者用于自动化恶意软件生成这一新兴威胁。研究背景是大型语言模型在代码生成方面的能力可能被滥用于恶意目的，但实际风险尚不明确。核心问题是：当前这类模型能否用于生成恶意软件？如果可以，攻击
Discovering Adversarial Driving Maneuvers against Autonomous Vehicles.
该论文研究了自动驾驶汽车在面对对抗性驾驶操作时的安全威胁。作者提出了一种系统性的方法，用于发现能够导致自动驾驶车辆发生碰撞或违反交通规则的对抗性驾驶操作。具体地，他们形式化了对抗性驾驶操作问题，将其建模为对手在有限感知和行动能力下对目标车辆
Internet Service Providers' and Individuals' Attitudes, Barriers, and Incentives to Secure IoT.
该论文对互联网服务提供商（ISP）和个人用户在物联网（IoT）安全方面的态度、障碍和激励因素进行了大规模调查研究。研究数据来自4961名ISP专家（通过全球多个ISP组织的网络）和3223名日本互联网用户（通过在线调查平台收集）。调查问卷覆
FLUTE: Fast and Secure Lookup Table Evaluations.
本文提出FLUTE协议，用于安全多方计算（MPC）中快速且安全的查找表（LUT）评估。传统的布尔电路在安全计算中存在较大的在线阶段开销，而查找表可以替代传统门电路（如AND、XOR），生成更紧凑的电路，并显著提升在线性能。已有工作利用LUT
无人机开源飞控 PX4-Autopilot堆栈溢出漏洞 CVE-2025-15150
CVE-2025-15150
无人机开源飞控 PX4-Autopilot堆栈溢出漏洞 CVE-2025-15150
MongoDB内存泄漏 CVE-2025-14847(MongoBleed)
CVE-2025-14847
MongoDB内存泄漏 CVE-2025-14847(MongoBleed)
1Panel 代理证书验证绕过导致任意命令执行漏洞(CVE-2025-54424)
CVE-2025-54424
1Panel 代理证书验证绕过导致任意命令执行漏洞(CVE-2025-54424)
ModelContext Inspector 未授权访问漏洞(CVE-2025-49596)
CVE-2025-49596
ModelContext Inspector 未授权访问漏洞(CVE-2025-49596)
llamaindex SQL 注入漏洞(CVE-2025-1750)
CVE-2025-1750
llamaindex SQL 注入漏洞(CVE-2025-1750)