## Summary **Type:** Vertical privilege escalation. The `PATCH /workspaces/{workspace_id}/members/{user_id}` endpoint is gated by `require_workspace_member(workspace_id)`, which defaults to `min_role="member"` and is never overridden by the route. The handler then calls `MemberService.update_role(workspace_id, user_id, body.role)` which sets the target member's role to whatever the request body s

2026年5月29日，美国网络安全和基础设施安全局（CISA）将一个新的漏洞CVE-2026-0257添加到其已知被利用漏洞（KEV）目录中，原因是存在主动利用的证据。该漏洞是Palo Alto Networks PAN-OS的身份验证绕过漏洞，属于高危类型，经常被恶意网络行为者用作攻击载体，对联邦企业构成重大风险。根据行政指令BOD 22-01，联邦民事行政分支机构（FCEB）机构必须在规定日期前修复该漏洞，以保护其网络免受活跃威胁。尽管BOD 22-01仅适用于FCEB机构，CISA强烈建议所有组织优先修复KEV目录中的漏洞，将其纳入漏洞管理实践，以降低遭受网络攻击的风险。CISA将继续根据特定标准向目录添加漏洞。本次通报未提供具体的攻击指标（IoC）、攻击者归属或相关恶意软件家族信息，但标签中提及Conti，可能暗示该漏洞曾被Conti勒索软件组织利用，但原文未明确证实。由于CVE-2026-0257已被证实存在在野利用，攻击者可能利用该漏洞绕过身份验证，获取未授权访问权限，进而执行后续攻击活动。组织应立即评估自身受影响程度，并采取缓解措施。

Palo Alto Networks 发布了关于 GlobalProtect App 中一个缓冲区溢出漏洞的安全公告（CVE-2026-0250）。该漏洞存在于 GlobalProtect App 连接到 Portal 或 Gateway 的过程中，由于对输入数据的边界检查不足，攻击者可能通过发送特制的请求触发缓冲区溢出，导致应用程序崩溃或潜在的任意代码执行。该漏洞的严重性被评定为中等（MEDIUM）。目前官方尚未提供详细的受影响版本信息，但建议用户关注官方公告并及时应用补丁。由于该漏洞影响 VPN 客户端软件，对于依赖远程访问的企业环境具有潜在风险，需要及时评估和修复。

Mandiant 于 2026 年 5 月发布报告，揭露了一起利用 ViewState 反序列化漏洞针对 KnowledgeDeliver 的攻击活动。ViewState 是 ASP.NET 中用于保持页面状态的一种机制，若其序列化数据未经签名或加密，攻击者可通过构造恶意 ViewState 数据触发反序列化，从而在目标服务器上执行任意代码。报告中虽未提供具体攻击链、受害者信息或 IOCs，但强调该漏洞已被“在野利用”（原文标注 exploitation_in_the_wild）。KnowledgeDeliver 是一款企业级文档交付与协作平台，广泛用于政府、金融与制造业。攻击者可能通过钓鱼邮件或网络边界突破的方式诱导用户加载恶意 ViewState，进而获得初始访问权限。Mandiant 建议管理员立即检查服务器日志中异常的 ViewState 传输，并对所有 ASP.NET 应用实施 ViewState 验证（如设置 EnableViewStateMac=true 及合理的密钥管理）。由于缺乏细节，无法确定攻击者归属与使用的后续工具，但该漏洞一旦成功利用，可导致服务器完全沦陷。** **注意：本摘要基于 Mandiant 公开报告标题与有限元数据生成，具体技术细节以原文为准。

A race condition in the shared Extreme Platform ONE IAM Gateway API-key authentication path could, under specific high-concurrency traffic conditions, intermittently allow requests authenticated with an Extreme Platform ONE /IAM-issued API key to receive response data for another tenant. The issue was observed through ExtremeCloud IQ/XIQ API endpoints and validated against both XIQ/XAPI and Extrem

## Summary **Type:** Authorization bypass enabling owner lockout. The `DELETE /workspaces/{workspace_id}/members/{user_id}` endpoint is gated only by `require_workspace_member(workspace_id)` (default `min_role="member"`). Any member can remove any other member, including the workspace owner, using a single DELETE. There is no caller-role check, no target-role check, no "cannot remove last owner"

## Summary **Type:** Insecure Direct Object Reference. Five label endpoints — `PATCH /workspaces/{workspace_id}/labels/{label_id}`, `DELETE .../labels/{label_id}`, `POST .../issues/{issue_id}/labels/{label_id}`, `DELETE .../issues/{issue_id}/labels/{label_id}`, `GET .../issues/{issue_id}/labels` — gate access on `require_workspace_member(workspace_id)` only and pass URL-supplied `label_id` and `i

## Summary **Type:** Insecure Direct Object Reference. The dependency endpoints (`POST/GET /workspaces/{workspace_id}/issues/{issue_id}/dependencies` and `DELETE .../dependencies/{dep_id}`) gate access on `require_workspace_member(workspace_id)` only, then dispatch to `DependencyService` calls that take URL/body-supplied issue and dependency IDs without verifying any of them belong to the members

### Summary PraisonAI Platform's workspace-scoped REST routes contain a systemic object-level authorization flaw that allows an authenticated user from one workspace to access, modify, and delete objects belonging to another workspace by supplying the victim object's global UUID. The affected pattern appears in workspace-scoped routes such as agents, projects, issues, and comments. The route lay

## Summary The Platform server exposes resources under `/api/v1/workspaces/{workspace_id}/...` and protects them with a `require_workspace_member(workspace_id)` FastAPI dependency. The dependency only checks that the caller is a member of the workspace_id in the URL prefix. The route handlers then look up the inner resource (`agent_id`, `issue_id`, `project_id`, `label_id`, `comment_id`, `depende

## Summary **Type:** Insecure Direct Object Reference. The `GET /workspaces/{workspace_id}/issues/{issue_id}/activity` endpoint is gated by `require_workspace_member(workspace_id)` and dispatches to `ActivityService.list_for_issue(issue_id)`, which executes `SELECT * FROM activity WHERE issue_id = :issue_id` with no workspace constraint. A user who is a member of any workspace can read the full a

### Summary The PraisonAI Platform API has two authorization failures that together break workspace isolation. The service layer for issues and projects performs global primary-key lookups without checking workspace ownership, so any authenticated user can read, modify, and delete resources in any workspace just by swapping UUIDs in their API requests. On top of that, every member management endp

## Summary The first-party PraisonAI A2A server example combines three behaviors into a remotely exploitable Critical chain: 1. The example exposes an A2A server without configuring `auth_token`. 2. The same example binds the server to `0.0.0.0`. 3. The example registers a `calculate(expression)` tool implemented with Python `eval(expression)`. An unauthenticated network client can send a JSON-

### Summary PraisonAI's call server exposes a network-facing agent control API without authentication when `CALL_SERVER_TOKEN` is not configured. The affected component is the `praisonai.api.agent_invoke` router as mounted by `praisonai.api.call`. The authentication helper `verify_token()` fails open when `CALL_SERVER_TOKEN` is unset. Since every sensitive agent-control endpoint depends on this

### Summary CC-Tweaked's HTTP API (`http.request`, `http.websocket`) blocks requests to private network ranges to prevent server-side request forgery (SSRF). This protection can be bypassed on IPv6-capable servers using NAT64 well-known prefix addresses (`64:ff9b::/96`). An attacker who can execute Lua code can reach any internal IPv4 service that the filter is intended to block, by addressing it

### Impact `DNSCache._async_add` inserted every response record into `cache`, `_expirations`, `_expire_heap`, and `service_cache` with no cap on entry count. The only pre-existing protection was a PTR TTL floor (`_DNS_PTR_MIN_TTL = 1125` s, RFC 6762 §10), which actually *prolonged* attacker-injected records, and a periodic `async_expire` on `_CACHE_CLEANUP_INTERVAL = 10` s that could not keep up

### Impact `DNSIncoming._log_exception_debug` and the four `QuietLogger` exception-dedup methods stored an unbounded `_seen_logs` dict keyed by `str(sys.exc_info()[1])`. The seven `IncomingDecodeError` messages raised from `_read_name` / `_decode_labels_at_offset` (RFC 6762 §18 name-decoding error paths) all embed `self.source` — the peer's ephemeral source port, varying per packet — plus byte `of

### Impact `DNSIncoming._decode_labels_at_offset` recurses once per DNS-name compression pointer (RFC 1035 §4.1.4). Pointer cycles and label counts were capped, but the chain length of unique forward pointers was not. A single ~3 kB mDNS packet carrying ~1500 chained pointers drives the recursion past CPython's default limit, and `RecursionError` was not listed in `DECODE_EXCEPTIONS`, so it escap

### Summary amazon-redshift-python-driver is the official Python connector for Amazon Redshift. In versions 2.1.13 and earlier, the driver insufficiently validates data received from the server during query result processing. A rogue server or man-in-the-middle could leverage this to execute arbitrary code on the client. ### Impact When a client connects to a rogue server implementing the Postgre

Ivanti Endpoint Manager Mobile代码注入漏洞

Huawei Secoway USG firewall weak password

## Summary **Type:** Insecure default cryptographic key. The JWT signing secret defaults to the hardcoded literal `"dev-secret-change-me"` when `PLATFORM_JWT_SECRET` is unset. A safety check exists but only fires when `PLATFORM_ENV != "dev"`; the default value of `PLATFORM_ENV` is `"dev"`, so the check is silently bypassed in any deployment that does not explicitly opt out. The attacker reads the

Citrix NetScaler 内存泄漏(CVE-2025-5777)

CVE-2026-0265 PAN-OS: Authentication Bypass with Cloud Authentication Service (CAS) enabled (Severity: HIGH)

Dokploy is a free, self-hostable Platform as a Service (PaaS). In 0.26.7 and earlier, the schedule router does not enforce organization/role checks. As a result, any authenticated user can create, update, run, or delete schedules belonging to other organizations if they know the scheduleId/serverId. Schedule types server and dokploy-server write and execute scripts on the host or remote servers, e

A command injection vulnerability exists in the IPSec VPN feature of InHand Networks IR302 firmware V3.5.108, IR305 firmware V1.0.118, IR315 firmware V1.0.118, IR615 firmware V1.0.118, and earlier versions. Attackers can exploit this vulnerability to obtain ROOT privileges on remote target devices.

A command injection vulnerability exists in the WireGuard VPN feature of InHand Networks IR302 firmware V3.5.108, IR305 firmware V1.0.118, IR315 firmware V1.0.118, IR615 firmware V1.0.118, and earlier versions. Attackers can exploit this vulnerability to obtain ROOT privileges on remote target devices.

A command injection vulnerability exists in the ZeroTier VPN feature of InHand Networks IR302 firmware V3.5.108, IR305 firmware V1.0.118, IR315 firmware V1.0.118, IR615 firmware V1.0.118, and earlier versions. Attackers can exploit this vulnerability to obtain ROOT privileges on remote target devices.

### Summary An authenticated Admidio member with upload rights on **any one folder** can permanently delete files from folders where they have only view access. The authorization check at the top of `modules/documents-files.php` evaluates upload rights against the attacker-supplied `folder_uuid` URL parameter — not the file's actual parent folder. The `file_delete` handler then only verifies view

## Summary `Sender::send` in `src/lib.rs` contains an `unsafe` block in the `DISCONNECTED` arm that transmutes a **raw pointer** (`*mut Producer`) into the bytes of a **value-level** `Consumer`. The author's intent, visible in the surrounding comment at lines 386-390, was a value transmute. The shipped code is one level of indirection off. The resulting `Consumer` has its internal `Arc::ptr` set

PLANET VDR-300NU ADSL Router - 未授权修改DNS

Acknowledgements

本文针对物联网设备制造商使用描述（MUD）标准中设备与MUD配置文件安全绑定的缺失问题展开研究。MUD标准允许制造商通过在线MUD文件指定设备的预期网络流量，从而实施网络策略。然而，当前标准未定义如何将设备与其配置文件安全绑定，导致恶意设备可以借用合法设备的MUD URL来绕过网络策略。尽管标准定义了基于证书的发行方法，但实际部署中多采用不安全的DHCP扩展方式。现有解决方案存在依赖公钥基础设施（PKI）、违背标准合规性、要求制造商过度参与或无法支持安全配置文件更新等问题。为此，本文提出FIDEM——一个符合MUD标准的框架，用于在DHCP下安全地绑定MUD URL。FIDEM利用零知识证明认证实现设备与MUD配置文件之间的密码学绑定，无需PKI，减少制造商参与，并支持安全更新。形式化分析表明，FIDEM能抵御比先前工作更强的攻击者模型，包括供应链妥协和利用合法设备作为密码学谕示机的攻击。在ESP32-S3和ESP32-C6两款参考受限设备上的实际评估显示，与标准DHCP相比开销极小（约5ms延迟和20mJ能耗），且相比基于证书的方案在速度快约20倍的同时能耗降低35%。本文的主要贡献包括：首次提出符合MUD标准且无需PKI的轻量级安全绑定方案；通过形式化证明保证了安全性；在真实硬件上验证了可行性。适合IoT安全研究人员、网络策略实施工程师以及MUD标准制定者阅读。

CVE-2026-9831 是 Extreme Networks 旗下共享平台 Extreme Platform ONE 中 IAM 网关 API 密钥认证路径存在的一个竞态条件漏洞。在高并发流量条件下，该竞态条件可能间歇性地导致使用 /IAM 颁发的 API 密钥进行认证的请求，错误地接收到另一个租户的响应数据。该问题通过 ExtremeCloud IQ 和 XIQ 的 API 端点被观察到，并已针对 XIQ/XAPI 以及 Extreme Platform ONE /Common Services API 路径得到验证。XIQ 原生令牌和标准 OAuth/Bearer JWT 认证不受影响。该漏洞的 CVSS 评分为 6.3（中等），攻击复杂度较高，需要低权限，且影响范围涉及机密性（高），但未影响完整性和可用性。值得注意的是，该漏洞仅影响共享的 Extreme Platform ONE IAM 网关，而非所有实例。厂商已发布安全公告及补丁，建议受影响用户立即更新至修复版本。此外，限制 API 端点的网络暴露范围可作为临时缓解措施。目前未发现该漏洞已遭在野利用，也未被列入已知被利用漏洞目录（KEV）。

### Summary PraisonAI Platform has a broken workspace authorization check that allows any authenticated low-privilege workspace member to escalate their own role to `owner`. The issue is caused by privileged workspace-management routes using the shared dependency `require_workspace_member(...)` without requiring `admin` or `owner`. The dependency defaults to `min_role="member"`, so routes that s

## Summary `execute_code()` in `praisonaiagents/tools/python_tools.py` (v1.6.37, subprocess sandbox mode) can be fully bypassed using `print.__self__` to retrieve the real Python `builtins` module, from which `__import__` can be extracted via `vars()` and runtime string construction. This achieves arbitrary OS command execution on the host, completely defeating the sandbox. This is a **novel byp

### Summary PraisonAI's direct-prompt CLI automatically expands `@url:` mentions in raw prompt text before agent execution begins. If a prompt contains `@url:`, the CLI calls `MentionsParser.process(...)`. The `@url:` handler then performs a direct `urllib.request.urlopen()` request to the attacker-controlled URL and returns the response body. That response body is prepended to the final model p

### Summary CVE-2026-44338 (GHSA-6rmh-7xcm-cpxj) documents that PraisonAI ships a code-generator (`praisonai.deploy.api.generate_api_server_code`) that emits a Flask API server with authentication disabled by default. Users who follow the documented quickstart (`praisonai deploy --type api`) get a server that: - binds to `0.0.0.0` per the recommended sample YAML - exposes `/chat` and `/agents` e

## Summary Commit `d37ca6b27b9674238e58491cf7ba292e66898f15` ("Delete item not check admin rights #2024", 2026-04-12) added a missing `isAdministratorInventory()` gate to `case 'item_delete':` in `modules/inventory.php`. The same fix was not applied to the sibling `case 'field_delete':` handler, which destroys an entire inventory field definition, cascading to every `adm_inventory_item_data` row

## Summary The sensitive `mode=export` action in `modules/sso/keys.php` exports a PKCS#12 bundle containing the configured private key and certificate, but the CSRF validation line is commented out. A forged cross-site POST from an administrator session can therefore trigger private key export without a valid form token. ## Vulnerable Code Links - https://github.com/Admidio/admidio/blob/v5.0.9/

## Summary `modules/sso/clients.php` validates an `adm_csrf_token` on every state-changing branch except `enable`. The `enable` case loads the SAML or OIDC client by UUID, calls `$client->enable($enabled)`, and persists the new state with no token check. Because the action is reachable via plain GET parameters, a third-party page can trick an authenticated administrator into disabling (or silentl

## Summary `modules/registration.php` mode `send_login` regenerates a random password for `user_uuid_assigned`, stores its bcrypt hash in `adm_users.usr_password`, and emails the cleartext to that user. Every other state-changing mode in the same file (`assign_member`, `assign_user`, `delete_user`, `create_user`) calls `SecurityUtils::validateCsrfToken($_POST['adm_csrf_token'])` first; the `send_

A stored cross-site scripting (XSS) vulnerability has been identified in the web management interface of TP-Link's TL-SG108PE v5 switch due to improper sanitation of the SYSNAM configuration parameter during configuration file import. An attacker with administrator access can inject malicious script into the device configuration, which may be stored and executed in the administrator’s browser when

There is an authentication bypass vulnerability in the NI SystemLink Enterprise Dashboard application that may allow an unauthenticated remote attacker to bypass authentication controls leading to privilege escalation or information disclosure.  Successful exploitation requires an attacker to send a specially crafted HTTP request.  This vulnerability affects NI SystemLink Enterprise 2026-04 and pr

### Impact **CVSSv4 Baseline Score:** Moderate 6.3 **CVSSv4 Weighted Score:** Low 2.9 The full CVSSv4 Vector for this vulnerability is: > CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:P/CR:L/IR:L/AR:L/MAV:N/MAC:H/MAT:N/MPR:N/MUI:N/MVC:L/MVI:N/MVA:N/MSC:N/MSI:N/MSA:N/S:N/AU:Y/R:U/V:D/RE:L/U:Green **CVSSv3.1 Baseline Score:** Low 3.7 **CVSSv3.1 Overall Score:** Medium 4.0

### Summary authentik's SAML Source ACS endpoint is vulnerable to XML Signature Wrapping when validating upstream SAML responses. An attacker with any account at the upstream IdP can reuse a valid signed assertion to authenticate as another federated user. ### Patches authentik 2026.5.1, 2026.2.4 and 2025.12.6 fix this issue. ### Impact Affected: authentik deployments using a SAML S

## Summary Koel validates the podcast feed URL via the `SafeUrl` rule (DNS resolution + public IP check), but the individual episode `` values extracted from the RSS XML are stored directly into the database without any SSRF validation. When a user plays an episode, the server downloads the full HTTP response from the unvalidated enclosure URL via `Http::sink()->get()` and streams it back to the

### Summary The `russh` server authentication path keeps internal userauth state across `SSH_MSG_USERAUTH_REQUEST` messages without separating that state when the request principal changes. RFC 4252 allows the `user name` and `service name` fields to change between authentication requests. The issue is not that such changes are invalid. The issue is that russh-owned authentication state, such as

The affected KMW CCTV Security Cameras are vulnerable to a critical unauthenticated password reset. This flaw allows an attacker to remotely reset the administrator password to a known value without authentication, granting full access to the camera feeds and settings.

The Frontier X2 device allows unauthenticated BLE read/write access to critical GATT characteristics without enforcing pairing authentication or authorization. This allows attackers within BLE range to perform unauthorized control of device functions, including starting/stopping activities, triggering vibrations, causing denial-of-service conditions, and fuzzing characteristic values to induce une

Jinan USR IOT Technology Limited (PUSR) USR-W610 RS232/485 to Wi-Fi/Ethernet Converter device firmware contains plaintext administrative credentials embedded in the firmware image. These credentials can be extracted through firmware analysis and used to authenticate to device services.

Firefox browsers

Sign in to Cloud

Sign Up for Free Cloud Tier

iOS 26.4.2 and iPadOS 26.4.2

iOS 18.7.8 and iPadOS 18.7.8

iOS 18.7.7 and iPadOS 18.7.7

iOS 26.4 and iPadOS 26.4

Background Security Improvements for iOS, iPadOS, and macOS

iOS 16.7.15 and iPadOS 16.7.15

iOS 15.8.7 and iPadOS 15.8.7

iOS 26.3 and iPadOS 26.3

iOS 18.7.5 and iPadOS 18.7.5

iOS 26.2 and iPadOS 26.2

iOS 18.7.3 and iPadOS 18.7.3

Compressor 4.11.1

iOS 18.7.2 and iPadOS 18.7.2

iOS 26.1 and iPadOS 26.1

iOS 26.0.1 and iPadOS 26.0.1

iOS 18.7.1 and iPadOS 18.7.1

iOS 26 and iPadOS 26

iOS 18.7 and iPadOS 18.7

Android Code Search

Android Devices

Secure an Android device

Android 16 QPR2

Mobile network security

iOS 26.5 and iPadOS 26.5

iOS 18.7.9 and iPadOS 18.7.9

iOS 16.7.16 and iPadOS 16.7.16

iOS 15.8.8 and iPadOS 15.8.8

MFSA 2026-49Security Vulnerabilities fixed in Firefox for iOS 151.0

MFSA 2026-52Security Vulnerabilities fixed in Firefox for iOS 151.1

Hi everyone! We've just released Chrome Dev 150 (150.0.7863.2) for Android. It's now available on Google Play.You can see a partial list of the changes in the Git log. For details on new features, check out the Chromium blog, and for details on web platform updates, check here.If you find a new issue, please let us know by filing a bug.Chrome Release TeamGoogle Chrome

 Hello Everyone! We've just released Chrome 149 (149.0.7827.48) for Android to a small percentage of users. It'll become available on Google Play over the next few days. You can find more details about early Stable releases here.This release includes stability and performance improvements. You can see a full list of the changes in the Git log. If you find a new issue, please let us know by filing

Hi everyone! We've just released Chrome Beta 149 (149.0.7827.48) for Android. It's now available on Google Play.You can see a partial list of the changes in the Git log. For details on new features, check out the Chromium blog, and for details on web platform updates, check here.If you find a new issue, please let us know by filing a bug.Chrome Release TeamGoogle Chrome

Akamai 发布了 Firewall for AI，这是一款专门保护 AI 应用免受恶意攻击的安全产品。随着企业广泛部署大语言模型和生成式 AI 服务，攻击者开始利用提示注入、模型滥用、数据提取等手段破坏 AI 系统的完整性和保密性。传统 Web 应用防火墙无法有效检测这些 AI 特有的攻击向量。Firewall for AI 利用 Akamai 全球边缘网络和机器学习分析能力，对进入 AI 应用的流量进行实时检测与过滤，识别并阻断尝试操纵模型输出或窃取训练数据的恶意请求。该产品还提供针对 AI 推理端点的防护，防止拒绝服务攻击和模型被盗用。通过部署该解决方案，安全团队可以增强对 AI 系统的可见性和控制，确保 AI 驱动的业务流程安全可靠。

随着大语言模型（LLM）的广泛应用，第三方转售和代理API已成为访问模型的主要中间层。然而，用户无法直接验证所声称的端点是否真正运行了预期的模型，这可能导致模型替换、混合路由等欺诈行为，威胁供应链安全。本文提出KBF（Knowledge Boundary as Fingerprint），一种低成本的黑盒审计协议，通过对模型知识边界附近的稳定数值召回进行指纹识别，从而区分不同LLM。KBF的核心思想是：每个模型在知识边界（即其训练数据分布边缘）附近的查询行为具有独特且稳定的召回统计特征。作者在16个生产LLM端点上进行了实验，包括GPT-4、Claude、Gemini等。结果表明：KBF能100%检测出所有155个经济相关的模型替代案例，同时不误判任何同模型控制组；对模型部署变化（如量化、推理优化）具有鲁棒性；在混合路由攻击中，即使只有5-10%的流量被替换为高分离度模型，KBF也能准确检测；此外，在对6个云平台的影子API审计中，KBF发现27个模型单元中有7个与其参考端点的行为统计不一致，尤其集中在高端Claude端点，暗示存在潜在的服务降级或模型替换。该工作为LLM API供应链审计提供了一种可行方案，适合安全研究人员、云服务用户及监管机构关注。

本文介绍 CAI Dataset，一个为期十四个月的网络安全大语言模型（LLM）轨迹数据集，基于开源 CAI 代理框架收集。该数据集源于 PentestGPT 的发现：专家操作轨迹而非基础模型能力是限制网络安全 LLM 性能的瓶颈。CAI Dataset 包含了来自 123 个国家的 16,768 个源 IP 的 230,935 个会话日志和 26,027,742 个用户提示，涉及 4,187 个不同的 LLM 标识符和 23,147 个目标域，总存储量达 18.07 TB。数据分布涵盖攻击（36.4%）、攻击者意图（20.1%）、业务/集成（27.5%）和防御（4.4%）场景。据作者称，这是目前已知规模最大的 LLM 驱动黑客轨迹语料库。数据集以系列形式向合作伙伴和客户发布（CAI Dataset10、CAI Dataset1k、CAI Dataset200k）。从纵向来看，该语料库记录了网络安全自动化进程：操作员经常在提示中粘贴实时凭证、生产主机名和持有者令牌，明知输入会被记录，但为了竞争优势而接受这种权衡。跨行业汇总后，全球相当一部分攻防操作上下文集中在少数前沿模型 API 提供商手中，形成了一个单一故障面，其泄露或出于政治动机的再利用可能导致国家和企业级的破坏性影响。作者认为，唯一既能保持生产力优势又能保护操作方机密性的配置是在操作者信任边界内内部托管专用网络安全 LLM，而 CAI Dataset 旨在使这种配置变得可行。本文主要贡献是发布了这一大规模数据集，揭示了网络安全操作自动化的现状与风险，并推动了私有化部署的实践方向。

本研究首次大规模实证测量了大型语言模型（LLM）作为自主渗透测试代理时攻击行为的一致性。论文设计了400次自治渗透测试运行（4个模型，每个100次），目标是一个固定蜜罐环境，包含OWASP Juice Shop和两个额外脆弱服务，并保持提示词、编排器和目标不变。实验结果表明，没有模型在编排器的0-1次迭代后的单次授权重新提示后发出内容拒绝。Claude Sonnet 4的API调用遇到了上游服务不可用问题（1135次调用中有91次返回HTTP 529过载错误，发生在Anthropic容量事件期间），导致39次Claude运行截断。尽管如此，Claude在61次运行中实现了完全利用，Gemini 2.5 Flash-Lite为85次，GPT-4o-mini为56次（部署了98种独特攻击策略），qwen2.5-coder:14b为25次。失败模式具有模型特异性：Claude主要因API截断（39次），qwen因提前完成（52次），GPT-4o-mini因迭代预算耗尽（23次）。跨服务凭据重用仅出现在保留最多对话历史的配置中（qwen 57%，GPT-4o-mini 49%，云模型在5轮窗口下为0%）。跨模型利用率的差异具有统计学显著性（p < 0.001）且效应量大；qwen与Gemini的SQL注入率差异Cohen's h = 1.12。首次利用时间落在15-30秒的墙钟范围内。据作者所知，这是首个在多个服务目标上以每个模型N=100测量自治LLM攻击行为的研究。

本文提出了一种针对图检索增强生成（Graph RAG）系统的结构知识窃取攻击框架——GraphSteal。Graph RAG 系统通过将知识图谱集成到 LLM 的检索管道中，使模型能够利用结构化知识（实体、关系、多跳依赖）增强生成质量。然而，这种结构化知识也引入了新的隐私攻击面。作者证明，Graph RAG 系统可被转化为结构预言机：通过自适应黑盒交互，攻击者能够诱使系统泄露足够的关联证据，从而重建隐藏知识图谱的大部分内容。具体地，本文提出了从局部和全局两个视角恢复目标图的结构知识重建框架。局部视角采用深度优先启发式搜索，通过递归扩展以实体为中心的关联证据，提取细粒度的节点属性；全局视角采用广度优先扩散搜索，通过沿关系诱导的邻域传播来推断图拓扑。在通用和医疗保健两类场景上的实验表明，该方法能够从代表性的 Graph RAG 系统中恢复超过 90% 的原始知识图谱，高保真地揭示敏感实体、关系和结构依赖。现有防护机制对此攻击提供的防御有限，凸显了 Graph RAG 管道中保护结构隐私的固有困难。

本文提出一种针对大语言模型（LLM）文本水印的新型供应链攻击——SeedHack。现有密码学水印方案（如KGW、Unigram、DipMark）的安全性均基于伪随机数生成器（PRNG）的可信假设。SeedHack在供应链层面劫持PRNG，通过偏向绿名单选择来操纵水印信号，而不改变输出令牌或降低文本质量。该攻击具有三个关键特性：（1）盲性：无需知晓水印密钥、检测器或模型logits；（2）完整性保持：放大而非擦除水印信号；（3）正交性：攻击引入的偏差与内容侧检测统计量独立，使得放大与逃逸共存。实验在三种水印方案和三个开源LLM上进行，结果表明攻击能绕过6种最先进的内容侧统计检测器，同时将水印z-score提升至最高2.42倍。论文还展示了一种基于量子随机数生成器（QRNG）的防御措施，可完全中和攻击且不影响水印正常功能。该工作将PRNG完整性确立为密码学内容溯源系统的一级安全需求，揭示了供应链层面的薄弱环节。

本文旨在探索网络安全人工智能（AI）的最佳“缰绳”（harness）——即用于驱动大语言模型（LLM）执行安全任务的执行框架。当前，网络安全系统正趋向于每个智能体使用单一的迭代式shell循环作为执行脚手架（scaffold），但这些脚手架不可互换、互操作性差，且没有任何单一脚手架在所有挑战类型中表现最优。为此，作者提出了一个元脚手架（meta-scaffold）架构，名为CSI（网络安全超级智能），它能够在统一的编排层下整合异构的智能体缰绳，使任何LLM驱动的脚手架都能在同一基础设施中被部署、基准测试和组合。通过在33个cybench挑战中对五个脚手架（CSI::Claude、CSI::Codex、CSI::GCAI、CSI::Mistral、CSI::CAI）进行基准测试，并固定底层LLM模型为alias2-mini，实验结果显示：最佳单一脚手架（CSI::Claude）解决了15/33（45.5%）的挑战；四个脚手架的并集解决了17/33（51.5%），其中第五个脚手架贡献了唯一一个其他脚手架未能解决的挑战。这表明没有单一脚手架是绝对最佳的，结构异构的脚手架组合才能获得最高覆盖率。为了进一步验证，作者利用CSI的黑板（blackboard）多智能体架构，让多个专用脚手架的智能体并行运行，并通过共享的黑板交换中间发现。这种黑板架构解决了19/33（57.6%）的挑战，相比最佳单一脚手架CSI::Claude（15/33，45.5%）相对提升27%，同时时间缩短25%（20.2小时对比26.8小时），成本几乎相同（5,480美元对比5,122美元）。本研究揭示了异构脚手架组合在网络安全自动化中的潜力，为构建更强大、更全面的网络安全AI系统提供了新思路。适合网络安全研究员、AI工程师以及关注自动化安全测试的从业者阅读。

Formie 是一个 Craft CMS 的插件，用于创建表单。在版本 2.2.20 和 3.1.24 之前，未认证的攻击者可以向隐藏字段（配置为“默认值→自定义”）提交精心构造的值，这些值在提交处理过程中会被作为 Twig 模板进行评估。由于 Twig 模板引擎可能允许执行任意代码（取决于沙箱配置），攻击者可以利用此漏洞实现远程代码执行，从而导致完全控制 Craft CMS 站点。CVSS 评分为 9.8（严重），攻击向量为网络，无需认证，无需用户交互，影响机密性、完整性和可用性。该漏洞已在版本 2.2.20 和 3.1.24 中修复。建议用户立即升级到修复版本，并限制表单功能的网络暴露以降低风险。

cpp-httplib 是一个C++11跨平台HTTP/HTTPS库，采用单文件头文件形式。在0.44.0之前的版本中，服务器解析传入请求时，会对除Location和Referer以外的所有HTTP头字段值进行百分号解码。攻击者可以利用这一点，在头字段值中插入经过编码的CRLF序列（%0D%0A），这些序列在解码后会变成实际的回车换行符，从而绕过字段有效性检查（is_field_value）。该检查在解码前执行，因此无法识别出编码后的CRLF。成功利用此漏洞可导致HTTP响应拆分攻击，使攻击者能够向响应中注入多个HTTP头部或主体内容，进而可能实现会话固定、XSS、缓存投毒等攻击。由于漏洞影响HTTP请求解析过程，攻击面广且无需认证，CVSS评分高达9.9，属于严重级别。修复版本为0.44.0，建议用户立即升级。

CrowdStrike Named a Leader in Frost & Sullivan 2026 Radar for Cloud-Native Application Protection Platforms

CrowdStrike Expands Real-Time Cloud Detection and Response to Google Cloud

CrowdStrike Falcon Cloud Security Delivered 264% ROI Through Unified Cloud Protection

Security & Identity

SAP on Google Cloud

Inside Google Cloud

Google Cloud Next & Events

Google Cloud Consulting

Transform with Google Cloud

Threat IntelligenceNorth Korea-Nexus Threat Actor Compromises Widely Used Axios NPM Package in Supply Chain AttackBy Google Threat Intelligence Group • 16-minute read

Google Cloud Products

Cloud & Application Security

From Scanner to Stealer: Inside the trivy-action Supply Chain Compromise

Next-Gen Identity Security

CrowdStrike FalconID Brings Phishing-Resistant MFA to Falcon Next-Gen Identity Security

CrowdStrike Named a Leader in Identity Threat Detection and Response

The Mini Shai-Hulud campaign used malicious npm packages to target cloud and CI/CD credentials across developer environments. This report details the attack chain, detection opportunities, and mitigation guidance to help organizations identify and disrupt related activity. The post Typosquatted npm packages used to steal cloud and CI/CD secrets appeared first on Microsoft Security Blog.

随着ChatGPT等大型语言模型的兴起，安全Transformer推理成为一个重要研究方向。现有的安全推理方案大多采用交互式协议，客户端与服务器之间需要多轮通信，导致通信负载和延迟较高。本文提出了NEXUS，这是首个非交互式安全Transformer推理协议。在NEXUS中，客户端仅需与服务器进行一轮通信：提交加密输入并接收加密结果，整个推理过程无需额外交互。为了实现这一目标，作者引入了多项新型原语，包括SIMD密文压缩/解压缩、SIMD槽折叠以及安全Argmax操作。这些技术使得NEXUS在通信开销上大幅超越现有方案：相比BOLT (Oakland '24) 降低约372.5倍带宽，相比Bumblebee (NDSS '25) 降低约53.6倍。同时，非交互式特性使得协议可以充分利用硬件加速，GPU版本的运行时加速比达到42.3倍。实验表明，NEXUS可以在37.3秒内完成基于BERT模型的推理，仅消耗164 MB带宽。该工作为安全Transformer推理提供了新的范式，尤其适用于带宽受限或需要低延迟的场景，对隐私计算和LLM服务部署具有重要参考价值。

该论文提出了一种新型僵尸网络清除方法，核心思路是劫持恶意软件自身的更新机制，通过远程代码部署复用来分发修复载荷，从而在感染设备上隐蔽且及时地移除前端僵尸程序。与传统的DNS沉洞或C&C基础设施查封相比，该方法无需数月准备，且能绕过攻击者恢复控制的漏洞。作者研发了ECHO自动化取证管道，该管道能从Android恶意软件样本中提取载荷部署例程，并自动生成修复载荷，实现从隐蔽警告用户到彻底卸载恶意软件等多种清除目标。通过对702个Android恶意软件样本的评估，ECHO成功修复了其中523个（约74.5%），证明该方法在现实场景中具有很高的可行性和覆盖率。该研究为执法机构和安全厂商提供了一种在获得法律授权后可立即实施的、高效的僵尸网络根除辅助手段。

本文系统性地研究了专用URL缩短服务（DUSS）被滥用的“误导攻击”（Misdirection Attack）问题。DUSS广泛应用于大型企业，用于将受信任的长URL转换为短链接以优化用户体验，尤其是移动端。然而，攻击者可利用DUSS将其恶意链接转换为短链接，从而滥用用户对域名的隐含信任。当前学术研究对此类攻击缺乏系统认识。为此，作者首次从攻击面、可利用范围和现实世界安全影响三个维度进行了全面研究。研究发现，真实世界的DUSS普遍依赖自定义URL检查机制，但在Web域名安全假设上存在不可靠性，且未遵循安全标准。作者设计并实现了新型工具Ditto，从移动端视角实证研究易受攻击的DUSS。大规模实验表明，约四分之一的DUSS易受误导攻击。更重要的是，DUSS持有来自用户和基于域名的检查器的隐含信任，导致攻击后果扩展到移动设备上的隐蔽钓鱼和代码注入。作者已负责任地向受影响的DUSS企业报告了所有发现，并协助修复了漏洞。本文适合安全研究人员、移动安全工程师及URL缩短服务提供者阅读。

本文提出了一种名为BARBIE的鲁棒后门检测方法，旨在解决深度学习模型共享中的安全风险。后门攻击会使模型在正常样本上表现正常，但在含有特定触发器的样本上产生恶意行为。现有检测方法利用良性模型与后门模型在潜在表示上的可分离性（latent separability），通过聚类或距离度量来区分，但这些方法容易被自适应攻击（adaptive attacks）绕过。BARBIE提出了一种新的度量指标——相对竞争分数（Relative Competition Score, RCS），通过刻画潜在表示对模型输出的主导性来表征可分离性，该指标对各种后门攻击具有鲁棒性，且难以被攻击者操控。该方法无需访问任何良性或后门样本，仅通过反转每个标签的两组潜在表示（一组反映良性模型的正常表示，另一组放大后门模型的异常表示）来计算RCS。基于RCS，BARBIE构建了一系列指标来全面反映后门模型与良性模型的差异。实验在4个数据集上对超过10,000个模型进行了验证，覆盖14种后门攻击类型，包括针对潜在可分离性的自适应攻击。与7种基线方法相比，BARBIE在源不可知攻击（source-agnostic）上平均真阳性率提升17.05%，源特定攻击提升27.72%，样本特定攻击提升43.17%，干净标签攻击提升11.48%，同时保持更低的假阳性率。该研究为模型供应链安全提供了有效的防御工具。

本文提出并实现了一种名为 RadSee 的 6 GHz 调频连续波 (FMCW) 雷达系统，能够穿透墙体检测人的手写笔迹。与现有的基于射频的人体活动识别研究不同，手写笔迹幅度极小（毫米级），且需穿透墙壁，因此极具挑战性。RadSee 采用软硬件协同设计：硬件方面，定制了 6 GHz FMCW 雷达电路和两个高增益贴片天线，提供充足链路功率预算，使系统能以较低发射功率穿透大多数墙体；软件方面，提取与手部运动对应的有效相位特征，并利用带注意力机制的双向 LSTM (BiLSTM) 模型对字母进行分类。该系统能检测毫米级手写运动，并基于独特相位模式识别大部分字母，同时具备对其它移动物体和带内无线电设备干扰的鲁棒性。原型系统在多种场景下评估，实验结果表明：当受试者书写 62 个随机字母时，字母识别准确率达 75%；书写文章时，单词识别准确率达 87%。论文详细介绍了硬件设计、信号处理流程、深度学习模型以及实验设置与结果，证明了通过墙进行非接触式手写识别的可行性。

### Impact Stigmem nodes configured with authentication disabled could grant the anonymous identity broad read/write/federation capabilities if exposed outside a loopback-only local development environment. Impacted users are operators who intentionally disabled authentication while binding the node to a non-loopback URL. ### Patches Patched in 0.9.0a2. The node now refuses unauthenticated operat

## Summary CAPM3 is Metal3's Cluster API (CAPI) provider for baremetal provisioning in Kubernetes. Multiple cross-namespace access control vulnerabilities in Cluster API Provider Metal3 allow users with permissions to create or modify CAPM3 resources in one namespace to reference, read, or claim resources belonging to other namespaces. ## Patched In - **v1.13.0** (main branch — all fixes includ

无人机开源飞控 PX4-Autopilot堆栈溢出漏洞 CVE-2025-15150

MongoDB内存泄漏 CVE-2025-14847(MongoBleed)

1Panel 代理证书验证绕过导致任意命令执行漏洞(CVE-2025-54424)

ModelContext Inspector 未授权访问漏洞(CVE-2025-49596)

llamaindex SQL 注入漏洞(CVE-2025-1750)

Screen 本地权限提升漏洞(CVE-2025-23395)

Zabbix认证后SQL注入漏洞(CVE-2024-42327)

ProjectSend认证绕过漏洞(CVE-2024-11680)

PyTorch库RPC框架反序列化RCE漏洞(CVE-2024-48063)

Grafana认证后DuckDB-SQL注入漏洞(CVE-2024-9264)

SPIP BigUp Unauthenticated RCE(CVE-2024-8517)

Rejetto HFS 远程命令执行漏洞(CVE-2024-39943)

Apache HugeGraph-Server Command Execution In Gremlin（CVE-2024-27348）

Zabbix 后台延时注入(CVE-2024-22120)

CrushFTP 认证绕过漏洞（CVE-2024-4040）

Alert for CVE-2026-21992

Alert for CVE-2025-61884

Alert for CVE-2025-61882

Alert for CVE-2024-21287

Alert for CVE-2022-21500

Alert for CVE-2021-44228

Linux 内核提权 CVE-2026-31431(copy-fail)

CVE-2026-0262 PAN-OS: Denial of Service Vulnerabilities in Network Traffic Parsing (Severity: MEDIUM)

CVE-2026-0258 PAN-OS: Server-Side Request Forgery (SSRF) in IKEv2 Certificate URL Fetching (Severity: MEDIUM)

CVE-2026-0259 WildFire WF-500 and WF-500-B: Arbitrary File Read and Delete Vulnerability in WildFire Appliance (WF-500, WF-500-B) (Severity: MEDIUM)

CVE-2026-0261 PAN-OS: Authenticated Admin Command Injection Vulnerability (Severity: MEDIUM)

CVE-2026-0256 PAN-OS: Stored Cross-Site Scripting (XSS) Vulnerability in the Web Interface (Severity: MEDIUM)

CVE-2026-0263 PAN-OS: Remote Code Execution (RCE) in IKEv2 Processing (Severity: HIGH)

CVE-2026-0249 GlobalProtect App: Certificate Validation Bypass Vulnerabilities (Severity: MEDIUM)

CVE-2026-0264 PAN-OS: Heap-Based Buffer Overflow in DNS Proxy and DNS Server Allows Unauthenticated Remote Code Execution (Severity: HIGH)

CVE-2026-0257 PAN-OS: GlobalProtect Authentication Bypass Vulnerabilities (Severity: HIGH)

本文是一篇技术报告，聚焦于以太坊验证者的位置隐私保护问题。验证者的IP地址与身份可关联性可能被攻击者利用，发动拒绝服务（DoS）攻击、最大化可提取价值（MEV）攻击或破坏最终性，从而威胁以太坊网络的安全。文章首先回顾了现有网络层和共识层针对验证者隐私保护的技术方案，随后重点评估了一种名为“Tor push”的基于Tor网络的协议。该协议旨在将验证者身份与其信标节点IP地址解耦，防止端到端关联。作者在Nimbus以太坊客户端中实现了Tor push的概念验证（PoC），并在Goerli测试网上实际部署，将证明提交、聚合签名和区块提议通过Tor网络推送。实验结果表明，Tor push引入的平均延迟仅为613.82毫秒，在可容忍范围内，且不会显著影响网络整体性能，同时有效增强了验证者的位置隐私。该研究为在以太坊网络中集成Tor以提升隐私保护提供了可行方案，适合对区块链隐私、网络层攻击防御和安全协议设计感兴趣的研究者和开发者阅读。

本文研究了卫星通信中加密密钥交换的量子安全问题。卫星通信面临独特挑战，包括星载资源受限和长传输延迟。作者以广泛用于地面网络的互联网密钥交换（IKE）协议为基础，探讨其在卫星环境中的适用性，主要解决两个核心问题：一是协议效率，需适应卫星终端的资源和带宽限制；二是抗量子计算攻击能力，以抵御“先收后解密”攻击。研究从设计和实验两个角度展开，定义并评估了多种低复杂度、抗量子的协议变体。为应对从经典密码原语到后量子密码原语的过渡，还考虑了结合两者的混合加密方案。实验结果表明，所提变体在保持较低开销的同时，能有效抵抗量子攻击，为卫星通信提供了实用的密钥交换解决方案。

本文研究了奥地利政府现有的部门特定个人标识符（bPk）系统，该系统提供假名机制以保护隐私，避免个人数据在公共服务和私营公司间被普遍追踪。然而，当前架构是完全中心化的，带来了可用性、隐私和真实性方面的挑战。作者提出了bPk#，一种分布式架构，通过将计算假名的权利委托给用户和服务提供商子集，减少对中央权威的依赖。用户可自行计算假名，从而最小化向中央权威泄露的元数据；服务提供商子集可在其域内计算假名，降低中央权威的可用性需求。论文提供了首个可委托假名系统的形式化框架，并给出了通用构造及其安全性证明。此外，还提出了具体实例化和参考实现，证明了实际效率。该研究适用于需要平衡隐私、可用性和可扩展性的电子身份系统设计。

本文提出了一种系统化的、基于证据的安全属性分类法，旨在帮助安全协议设计者将安全需求转化为形式化验证工具（ProVerif和Tamarin）可执行的模型。研究背景：随着数字系统对加密协议的依赖日益增加，确保协议的安全性（如机密性、完整性）至关重要。形式化验证是保证协议安全的关键步骤，但ProVerif和Tamarin等工具需要使用者具备专门的形式化领域知识，对具有安全背景而非形式化验证背景的协议设计者构成巨大学习障碍。因此，需要结构化的资源来弥合这一鸿沟。核心方法：作者对2022-2025年间使用ProVerif和Tamarin的53篇最新研究进行了文献综述，从中提取并分类了被验证的安全属性。分类法不仅提供了非正式定义以方便直观理解，还给出了基于一阶逻辑的严格形式化定义以确保清晰性和一致性。此外，文章详细描述了建模模式，并在ProVerif和Tamarin中实现了可执行的示例，这些示例被收集在开放存储库中。主要贡献：1）基于最新研究的系统分类法，反映已验证属性的当前状态；2）同时提供非正式和形式化定义，兼顾可理解性与精确性；3）提供可运行的建模示例，降低了工具使用门槛。该工作为理论安全属性与实用验证模型之间搭建了桥梁。适合安全协议设计者、形式化验证研究人员以及希望将安全需求直接映射到验证工具的从业者阅读。

该论文提出了一个名为 DeepFake Forensics AI 的统一平台，旨在解决 AI 生成的合成媒体对数字证据完整性构成的威胁。现有深度伪造检测系统通常只针对单一模态（如图像或视频），且缺乏防篡改的证据保全机制。该平台支持图像、视频和音频三种模态的合成媒体检测，能够识别生成架构的指纹，并在以太坊区块链上不可变地锚定法医证据。系统从头训练了四个独立的神经网络：EfficientNet-B4 图像检测器（AUC=0.9868）、双向 LSTM 视频检测器（AUC=0.9628）、ECAPA-TDNN 音频检测器（EER=18.63%）以及一个新颖的 GAN 指纹模块（准确率 99.88%），可识别伪造图像背后的生成架构。证据文件通过 SHA-256 哈希后存储在 IPFS 上（通过 Pinata），并通过基于 Solidity 的智能合约在链上注册，合约包含基于角色的访问控制。平台提供 React 前端和 FastAPI 后端，适用于法医和法律工作流程。据作者所知，这是第一个将多模态深度伪造检测与基于区块链的监管链管理统一起来的系统。

本文提出 EvaluatAR，一个面向增强现实（AR）中旁观者隐私增强技术（PET）的跨设备评估框架。AR 头显持续感知周围环境，捕获附近旁观者并引发隐私风险。视觉旁观者 PET 通过检测自我中心场景中的旁观者并应用隐私变换（如模糊化）来缓解风险。然而，传统 PET 评估依赖人工、开销高且设备特定，难以跨设备复现。EvaluatAR 通过记录-重放工作流标准化 PET 输入（传感器数据和视觉刺激）和输出，实现实验条件的可控复制。作者在 HoloLens 2、Magic Leap 2 和 Meta Quest 3 上验证了框架，涵盖隐式（持续、上下文驱动）和显式（意图驱动）PET 三种案例：（1）跨设备重放 PET 输入以揭示设备特定的隐私-性能权衡；（2）相同工作流在隐式与显式 PET 设计类别间的通用性；（3）重放隐私相关边缘案例以诊断失败并验证 PET 修改，较现有基线取得改进。结果表明 EvaluatAR 支持快速迭代的 PET 开发，在普适 AR 涌现的关键时刻推进了可复现的跨设备旁观者 PET 评估。

该论文聚焦于代码生成模型在面对恶意代码请求时的合规性测量问题。研究者指出，通用语言模型回答有害问题返回的是文本，而代码模型若顺从恶意请求则可能直接输出可运行的武器（如键盘记录器、勒索软件存根、漏洞利用代码），因此对代码模型的拒绝门槛应比通用对话模型更高。然而，当前针对恶意代码拒绝的基准测试存在碎片化问题：它们混淆了“可执行软件请求”（即可以直接运行的武器）与“有害安全知识请求”（需要人类进一步操作的信息），且在不同语料库上报告拒绝率，导致无法统一衡量关键属性。为此，论文设计了一个共识标注的提示库（Prompt Bank），通过五位评审员对来自八个语料库（ASTRA、CySecBench、AdvBench/harmful_behaviors、JailbreakBench、MalwareBench、RedCode、RMCBench、Scam2Prompt）的6,675条提示进行标注，区分两类请求。标注一致性达到Fleiss' kappa = 0.767（95% CI [0.755, 0.777]），95.0%的提示至少获得4位评审员一致，76.9%获得全票一致，且对之前发布的四个语料库复现了高一致性（Cohen's kappa = 0.952）。最终发布的提示库包含4,748条CODE提示（可执行恶意代码请求）和1,923条KNOWLEDGE提示（有害安全知识请求）。该库为评测代码模型是否满足其可执行输出所要求的更严格拒绝标准提供了可靠性量化的基础。

该论文聚焦于GUI代理（如基于视觉的智能助手）在截图过程中面临的隐私泄露风险。传统静态PII检测器无法根据任务、接收者、应用状态及用户角色动态调整隐私策略，而云端大语言模型（VLM）推理可能在决定保护前就上传原始截图。为此，作者提出了MaskClaw，一种部署在边缘侧的隐私仲裁系统。其核心机制包括：在用户或组织可控环境中提取本地视觉证据，检索用户与任务特定的策略记忆，并在原始截图离开前做出“允许”、“遮挡”或“询问”的决策。该系统设计了五种技能进化场景，将用户的纠正、取消和编辑操作转化为可复用的隐私技能，并通过沙箱门控进行验证。研究还构建了P-GUI-Evo基准测试，包含真实UI模式、重构的HTML截图和清洁标签。实验表明，单纯的模式匹配、云端推理或路由策略在相同协议下容易过度确认、过度遮挡或暴露原始截图。开源代码已在GitHub发布。该工作为GUI代理的隐私保护提供了一种细粒度、可演进且兼顾用户体验的解决方案，适合关注AI Agent安全、边缘隐私计算的研究人员与实践者。

联邦检索增强生成（FedRAG）是一种保护隐私的检索架构，原始数据保留在客户端本地，因此路由必须依赖客户端提供的语义概要。本文发现这一机制存在安全漏洞：恶意客户端可以伪造其语义概要，尽管其实际数据与目标查询无关，也能吸引路由将查询导向自己，从而实施路由劫持攻击。作者在三种典型的FedRAG路由架构（基于嵌入相似度、基于学习路由器、基于混合方法）上验证了攻击的有效性。实验表明，路由劫持能够一致地将目标查询误路由到恶意客户端，导致下游任务出现证据缺失、信息污染、错误答案以及幻觉生成。在MedQA-USMLE高危险性医疗问答用例中，被污染的证据甚至能误导不同规模的语言模型，产生错误诊断和谄媚性错误。现有防御措施，如加密路由（保留被利用的排序）和拜占庭鲁棒联邦学习（难以适配异构路由概要）均无法有效防护。为此，作者提出一种信任感知的后路由框架：该框架利用客户端返回证据的反馈（包括检索相关性、概要与证据的一致性、跨客户端协议）来重新加权客户端，并在在线实验中证明能有效抑制针对重复查询的持续性劫持，且可迁移到神经路由器。本文首次将路由完整性确立为FedRAG的一个新安全挑战，并呼吁构建更强的防御机制保障联邦检索的安全性。

该论文提出了 QSignAI 平台，一个已部署的开源系统，展示了人工智能与量子科学在实时事件参与系统中的双向结合。研究背景是 2024-2025 年诺贝尔奖和图灵奖同时表彰人工智能和量子科学，但现有身份系统仍依赖伪随机令牌，量子电路对大众不可见。QSignAI 通过一个对话式 AI 机器人，将每位参与者的第一条消息路由到云端量子模拟器上的双电路量子流水线，生成由量子随机性种子驱动的唯一身份签名。研究回答了三个问题：是否可以在 AI 驱动的社交平台中以可接受的延迟和成本嵌入通过真实量子电路生成的量子随机性；AI 机器人能否使量子现象对没有技术背景的普通用户变得可感知；两者结合的系统是否在实践中有效。论文通过系统设计和定性部署证据回答了前两个问题，并将可量化的比较列为未来优先工作。该平台突出了 AI for Science（AI 辅助量子科学）和 Science for AI（量子科学赋能 AI）的双向关系。

本文研究自动做市商（AMM）机制设计中的三难困境。AMM是区块链上流行的去中心化交易模式，用户通过智能合约直接交易加密资产，但面临抢跑和尾随攻击（即矿工可提取价值MEV）导致的劣质价格。早期工作证明在共识层完全消除MEV不可行，因此近年研究转向应用层（智能合约）的机制设计。本文延续Chan、Wu和Shi等人的工作，研究一个自然的双资产AMM机制设计问题，他们提出的机制在底层区块链提供排序公平性的假设下，实现了令人惊讶的强激励兼容性（IC）。本文探讨同时实现IC、弱局部效率（wLE）和统一定价（UP）的可行性。wLE要求机制不应留下未满足的需求——只要用户的要价不过于严苛且订单可直接与池子执行；UP要求所有（部分）执行的订单必须以相同汇率交易。作者揭示了AMM机制设计的底层数学结构，主要结果可总结为一个三难定理：在IC、wLE和UP三者中，可以同时满足任意两个，但没有任何机制能同时满足全部三个。该研究为AMM设计提供了理论界限，有助于理解去中心化交易所的内在权衡。适合对区块链机制设计、博弈论和DeFi安全感兴趣的研究人员阅读。

本文提出一种结合符号执行与推测性库预加载的技术，用于恢复动态加载代码的控制流图（CFG）。动态代码加载技术被恶意软件广泛使用以逃避静态分析，但现有静态分析方法无法处理运行时的动态链接引入的间接调用，导致CFG不完整。作者设计了一个基于两层架构的分析模块：第一层拦截动态加载操作（如dlopen、LdrLoadDll），第二层在符号执行环境中同时跟踪指令。当符号执行遇到动态加载时，模块不执行恶意代码，而是通过符号库解析将实际库加载到分析状态中，从而安全地恢复CFG。该模块完全运行于符号执行环境，无需动态插桩，因此适用于恶意软件分析。实验使用16个合成基准测试，涵盖加密库名、网络触发加载、环境派生路径、多阶段解密链、无文件执行及手动ELF解析等混淆技术。结果表明，与纯静态分析相比，该模块平均多恢复29.8%的CFG节点和26.5%的边，在库检测上达到100%精度和召回率，所有发现均通过Frida动态插桩验证。该工作为自动化分析动态加载代码提供了新途径，尤其适用于恶意软件和受保护软件的逆向工程。

本文是第一篇系统性地综述针对设备端AI推理（on-device AI inference）的攻击与防御机制的研究。随着边缘和移动设备上预训练AI模型用于客户端推理的普及，安全与隐私威胁日益突出，包括模型窃取/提取、对抗性攻击和数据泄露。现有防御手段包括可信执行环境（TEE）、同态加密、混淆技术和差分隐私等。然而，现有综述大多聚焦于边缘智能（涵盖分布式训练），忽略了设备端推理特有的安全问题。本文对相关攻击和防御文献进行了全面梳理，发现两者存在显著不平衡：约四分之一的攻击论文关注知识产权（IP）攻击，而一半的防御方案针对同一问题；更关键的是，某些攻击类别（如对抗性攻击，约占攻击文献的三分之一）完全没有对应的防御论文。这一不对称性为未来研究指明了方向。本文适合安全研究员、AI工程师和边缘计算开发者阅读，以了解设备端AI推理安全现状。

NanoMQ MQTT Broker (NanoMQ) is an all-around Edge Messaging Platform. In 0.24.8 and earlier, quic_stream_recv can dereference a null substream pointer when a substream is in reopen state. The code finishes the AIO with error but does not return before locking c->mtx.

NanoMQ MQTT Broker (NanoMQ) is an all-around Edge Messaging Platform. Prior to 0.24.14, aio->prov_data is stored as nni_quic_conn* during dialing, but read as ex_quic_conn* during dialer close. This type confusion causes invalid object interpretation and leads to close-path hang/crash behavior. This vulnerability is fixed in 0.24.14.

Trilium Notes is a cross-platform, hierarchical note taking application focused on building large personal knowledge bases. Prior to 0.102.2, a malicious ZIP archive imported with safe import enabled achieves RCE via #docName path traversal and XSS by combining a payload note (type: code, mime: text/plain) containing raw HTML/JS and a trigger note (type: doc or type: launcher) with a #docName labe

OpenClaw before 2026.5.18 contains a scope bypass vulnerability in the Gateway chat.send route that allows scoped clients to execute privileged commands. Attackers with operator.write scope can deliver commands through inherited external routes to bypass operator.approvals and operator.admin scope requirements, enabling unauthorized plugin, config, MCP, allowlist, and ACP mutations.

A vulnerability was determined in TRENDnet TEW-432BRP 3.10B20. Affected by this vulnerability is the function formSetRoute of the file /goform/formSetRoute. This manipulation of the argument ip/mask/gateway causes stack-based buffer overflow. The attack is possible to be carried out remotely. The exploit has been publicly disclosed and may be utilized. The vendor explains: "This product has been E

Improper handling of physical conditions in the bike-shutdown control of the Indian Motorcycle Scout Bobber + Tech 2025 model year allows a physical attacker with access to the Wireless Control Module (WCM) wiring harness to bypass the anti-theft shutdown. The WCM signals shutdown to a peer ECU via a falling-edge voltage transition on a dedicated wire pair. The receiving ECU does not distinguish b

FreePBX is an open source IP PBX. Prior to 17.0.8, the FreePBX api module's OAuth2 implementation does not sufficiently validate client credentials during token issuance. Knowledge of a valid client_id is required. The validateClient() method in ClientRepository.php unconditionally returns true, allowing any party with knowledge of a valid client_id to obtain OAuth2 access tokens without providing

A vulnerability has been found in TRENDnet TEW-432BRP 3.10B20. This impacts the function formSetRoute of the file /goform/formSetRoute. The manipulation of the argument ip/mask/gateway leads to command injection. Remote exploitation of the attack is possible. The exploit has been disclosed to the public and may be used. The vendor explains: "This product has been EOL for 15 years (since 2009). As

Weak authentication between the Wireless Control Module (WCM) and the Engine Control Module (ECM) of the Indian Motorcycle Scout Bobber + Tech 2025 model year allows an adjacent-network attacker with read access to the in-vehicle network to recover the per-vehicle ECM immobilizer secret by passively observing a single seed/key exchange. The WCM derives its response using a reversible, non-cryptogr

A flaw was found in the OpenShift Router. When a Route has `insecureEdgeTerminationPolicy` set to Allow, the HTTP frontend does not remove `X-SSL-Client-*` headers from incoming requests. This allows an unauthenticated attacker to send plain HTTP requests with crafted `X-SSL-Client-*` headers. As a result, backends relying on these headers for mutual TLS (Transport Layer Security) authentication c

A flaw was found in the OpenShift Router. A user with EndpointSlice write access can exploit this vulnerability by creating a Service backed by an FQDN (Fully Qualified Domain Name) EndpointSlice that resolves to a cloud metadata endpoint. This allows the router to proxy requests to the cloud metadata endpoint, leading to the disclosure of instance credentials and other sensitive metadata. This by

Weak authentication in the Wireless Control Module (WCM) of the Indian Motorcycle Scout Bobber + Tech 2025 model year allows an adjacent-network attacker with read access to the in-vehicle network to recover the user-set unlock PIN by passively observing a single PIN authentication exchange. The Infotainment Digital Round display computes its response using a non-cryptographic operation rather tha

RustFS is a distributed object storage system built in Rust. Prior to 1.0.0-beta.2, the admin router explicitly whitelists /profile/cpu and /profile/memory from the authentication layer, allowing any unauthenticated HTTP client to invoke profiling handlers without credentials. On supported builds (e.g., glibc), the handler invokes a fixed 60-second CPU profiling operation (dump_cpu_pprof_for(Durat

Detecting CVE-2026-20929: Kerberos Authentication Relay via CNAME Abuse

Hackers are exploiting an authentication bypass vulnerability (CVE-2026-35616) in FortiClient Enterprise Management Server (EMS) to deliver an undocumented credential stealer called EKZ. [...]

An unknown threat actor has been observed using a large language model (LLM) agent to conduct post-compromise actions after obtaining initial access following the exploitation of a publicly-accessible Marimo network using a recently disclosed vulnerability. "The attacker compromised an internet-reachable Marimo notebook via CVE-2026-39987, extracted two cloud credentials from the compromised

Android 兼容性测试套件（CTS）是一套用于验证 Android 设备是否符合 Android 兼容性定义文档（CDD）的测试工具。该公告是 2026 年 5 月 30 日发布的，但内容仅提及 CTS 的通用信息，并未涉及任何具体的安全漏洞或补丁。CTS 本身不直接提供安全修复，而是确保设备运行正确的 Android 框架版本，从而间接维护安全基线。此公告可能只是常规更新或文档说明，无安全风险。

本输入为Android兼容性定义文档（CDD），由Android安全公告发布。CDD旨在定义Android设备必须满足的兼容性要求，以确保应用程序在不同设备上的兼容性。文档内容不涉及具体漏洞，而是描述系统行为、API行为、硬件要求等。攻击者无法通过该文档直接触发安全问题，但开发者与厂商需遵循CDD以维护生态安全。由于未提供CVE、漏洞描述或受影响组件，本摘要无法生成具体漏洞信息。

该页面为Android安全公告中的参考文档部分，标题为“Tools, build, and related reference”，主要提供Android工具链、构建系统及相关参考链接。页面内容不涉及任何安全漏洞或修复信息，仅作为开发者和安全工程师查阅构建环境配置的辅助资料。由于没有提供任何漏洞详情或CVE编号，该页面不构成安全公告。

本公告为Android兼容性定义文档（CDD）的最新版本发布。CDD是Android生态系统的核心规范，定义了设备必须满足的硬件和软件要求，以确保应用兼容性和用户体验一致性。该文档适用于所有Android设备制造商（OEM）和开发者，定期更新以反映新的功能、安全要求和性能标准。本次更新可能包含对Android 2026年5月安全补丁级别的引用、新的硬件抽象层（HAL）要求、权限模型调整以及针对隐私和安全的增强。虽然该公告不涉及特定漏洞，但CDD的合规性直接影响设备的安全防护能力，例如要求强制启用某些安全功能（如加密、安全启动等）。因此，所有Android生态参与者应及时审查并遵循最新CDD，以确保设备获得最新的安全基线。

本输入仅提供Android安全公告的标题和来源URL，未包含任何具体的漏洞详情、CVE编号或受影响产品信息。该公告页面通常用于发布Android系统的安全补丁和漏洞修复信息，但本次输入数据中未解析出任何实际内容。因此，无法生成有意义的漏洞摘要。

苹果公司发布了针对Mac设备的安全更新公告（2026-05-30），建议用户更新软件至最新版本。该公告未披露具体漏洞细节或CVE编号，但通常此类更新包含关键安全修复，可能涉及系统组件、内核或应用程序中的远程代码执行、权限提升等高风险漏洞。用户应尽快通过系统偏好设置中的“软件更新”功能安装最新补丁，以防范潜在攻击。

Apple发布了针对iPhone和iPad的安全更新公告。该公告建议用户及时将设备上的软件更新至最新版本，以修复可能存在的安全漏洞。虽然公告未提供具体的漏洞编号（CVE）或严重性评级，但作为官方安全更新，通常涉及修复已知的安全问题，包括可能被攻击者利用的代码执行、权限提升或信息泄露等风险。用户应尽快通过“设置”>“通用”>“软件更新”安装更新，以保护设备免受潜在攻击。

苹果发布了安全更新公告，但输入未提供具体漏洞详情。无法分析具体影响。建议访问官方公告链接查看详情。

该页面是苹果安全发布的通用帮助页面，地址为 https://support.apple.com/en-us/111756。页面内容主要指导用户如何获取苹果产品安全问题的帮助，包括报告漏洞、查找安全更新等。页面未包含具体的漏洞描述、影响范围或修复措施，也未提及任何CVE编号。由于缺乏实质性安全公告内容，无法提取详细技术信息。

Apple 发布了名为 'Background Security Improvements' 的安全公告，涉及对系统后台安全机制的增强。该公告未提及具体漏洞或 CVE 编号，属于苹果常规的安全加固措施。这些改进可能包括提高系统完整性保护、加强代码签名验证、优化内存管理或增强隐私保护等底层调整。由于缺乏具体细节，无法确定确切的受影响组件或攻击面，但此类更新旨在提升整体防御能力，降低潜在攻击风险。苹果建议用户及时安装系统更新以获取这些安全增强。

输入内容为公安备案信息，并非安全公告，无漏洞可总结。

Pocsuite 是由知道创宇安全研究团队开发并维护的开源远程漏洞测试框架，是团队Web安全研究能力的基石。该框架支持多种漏洞验证和利用模块，便于安全研究人员进行漏洞验证、渗透测试和应急响应。作为一款广泛使用的工具，Pocsuite 帮助安全社区提升漏洞检测效率，但本身不涉及特定安全漏洞。

此输入是知道创宇旗下漏洞社区平台 Seebug 的简要介绍，强调其收录漏洞和 PoC 的数量、权威性及对白帽子的感谢。未提供任何具体漏洞公告或安全事件细节，仅描述平台自身定位。

该输入为知道创宇（Seebug）旗下云安全产品“云御”的推广文案，而非安全公告。内容宣传其多层防护体系、云大数据、安全CDN加速能力，以及对DDoS、DNS、CC攻击的拦截效果。未涉及任何具体漏洞、CVE编号或技术细节。

该输入为360CERT发布的一条信息，标题为京公网安备11000002002063号，来源是360CERT的备案信息页面，并非安全公告或漏洞报告。内容仅涉及网站备案号，不包含任何漏洞、威胁或安全建议。因此，本摘要不存在可总结的安全事件或技术细节。

该输入并非有效的安全公告，而是网络文化经营许可证信息（京网文〔2020〕6051-1195号），由360CERT发布。内容未涉及任何漏洞、安全风险或技术细节，无法提供漏洞摘要。

输入内容为网站ICP备案信息，并非安全公告或漏洞信息，因此无法生成技术摘要。

There is an authentication bypass vulnerability in the NI SystemLink Enterprise Dashboard application that may allow an unauthenticated remote attacker to bypass authentication controls leading to privilege escalation or information disclosure.  Successful exploitation requires an attacker to send a specially crafted HTTP request.  This vulnerability affects NI SystemLink Enterprise 2026-04 and pr

Shopper is a Headless e-commerce Admin Panel. Prior to 2.8.0, two distinct authorization defects in the team settings allowed any authenticated panel user to take over the RBAC system. Settings/Team/Index had no mount() authorization. Any authenticated user could load the page and use its public actions to create new roles and delete other users, including administrators. Settings/Team/RolePermiss

SillyTavern is a locally installed user interface that allows users to interact with text generation large language models, image generation engines, and text-to-speech voice models. Prior to 1.18.0, POST /api/extensions/delete endpoint accepts extensionName: "." which bypasses sanitize-filename validation, causing the entire user extensions directory to be recursively deleted. No authentication i

SillyTavern is a locally installed user interface that allows users to interact with text generation large language models, image generation engines, and text-to-speech voice models. Prior to 1.18.0, SillyTavern accepts Remote-User (Authelia) and X-Authentik-Username (Authentik) HTTP headers to automatically log in users when SSO is configured. There is no validation that these headers originate f

Jinan USR IOT Technology Limited (PUSR) USR-W610 RS232/485 to Wi-Fi/Ethernet Converter device firmware contains plaintext administrative credentials embedded in the firmware image. These credentials can be extracted through firmware analysis and used to authenticate to device services.

The affected KMW CCTV Security Cameras are vulnerable to a critical unauthenticated password reset. This flaw allows an attacker to remotely reset the administrator password to a known value without authentication, granting full access to the camera feeds and settings.

Dokploy is a free, self-hostable Platform as a Service (PaaS). In 0.26.5 and earlier, a critical path traversal vulnerability exists in Dokploy v0.26.5 that allows authenticated users to write arbitrary files to the filesystem during application deployment. When combined with Dokploy's remote server deployment feature, this vulnerability enables arbitrary file write to remote server filesystems, a

Dokploy is a free, self-hostable Platform as a Service (PaaS). In 0.26.6 and earlier, Dokploy contains a command injection vulnerability in the /docker-container-logs WebSocket endpoint. The tail and since parameters are not validated and are directly concatenated into shell commands, allowing authenticated users to execute arbitrary commands with root privileges.

Dokploy is a free, self-hostable Platform as a Service (PaaS). From 0.27.0 to before 0.29.3, a hardcoded BETTER_AUTH_SECRET fallback ("better-auth-secret-123456789") lets an unauthenticated attacker forge email verification JWTs, trigger auto-sign-in as admin, and execute commands on the host via the built-in SSH terminal. This vulnerability is fixed in 0.29.3.

Dokploy is a free, self-hostable Platform as a Service (PaaS). In 0.28.8 and earlier, authenticated OS command injection in the application.updateTraefikConfig tRPC endpoint allows admin/owner users to execute arbitrary system commands on remote servers via unsanitized echo shell interpolation.