From Scanner to Stealer: Inside the trivy-action Supply Chain Compromise
From Scanner to Stealer: Inside the trivy-action Supply Chain Compromise
2026-06-10 归档
今日共收录 1730 条安全情报，包含 831 个 CVE，478 篇安全通告，以及 120 篇研究论文。
← 返回归档列表Next-Gen Identity Security
Next-Gen Identity Security
CrowdStrike Named a Leader in Identity Threat Detection and Response
CrowdStrike Named a Leader in Identity Threat Detection and Response
ISO 42001:2023 and the New Reality of Cloud AI Data RiskJun 04, 2026
ISO 42001:2023 and the New Reality of Cloud AI Data RiskJun 04, 2026
Blinding the Watchmen: Abusing Cloud Logging Services for Defense Evasion and Visibility
Unit 42 research examines attack scenarios targeting cloud logging services. Learn how to defend against log manipulatio
SAP fixes critical flaws in NetWeaver and Commerce Cloud
SAP has released fixes for 15 vulnerabilities as part of its June 2026 Security Patch package, including four critical-s
Hades PyPI Attack: 19 Packages Poisoned to Auto-Run Bun Credential Stealer
The Miasma supply chain campaign has sparked a fresh attack wave called Hades, this time involving 37 malicious wheel ar
Small Cell, Big Risk: A Security Assessment of 4G LTE Femtocells in the Wild.
本论文对实际部署的4G LTE Femtocells（小型基站）进行了全面的安全评估。研究团队从多个维度分析了Femtocells的安全性，包括固件漏洞、配置缺陷、网络协议安全性以及隐私泄露风险等。通过实地采集和测试，发现了多种严重的安全隐
SoK: Safer Digital-Safety Research Involving At-Risk Users.
该论文是一篇系统化知识（SoK）综述，聚焦于涉及高风险用户的数字安全研究。高风险用户指更容易遭受数字攻击或受到不成比例伤害的群体。这类研究对保护用户数字安全至关重要，但也给研究人员和用户带来显著安全挑战。论文分析了196篇学术文献，提取出1
A Hardware-Software Co-design for Efficient Intra-Enclave Isolation.
可信执行环境（TEE）如 Intel SGX 通过硬件级隔离保护 enclave 代码和数据免受主机操作系统和特权软件的攻击。然而，现有 TEE 设计通常将整个 enclave 视为一个安全域，缺乏内部隔离机制。这意味着同一 enclave
Omnes pro uno: Practical Multi-Writer Encrypted Database.
本文提出了一种多写者（multi-writer）加密数据库方案，解决了传统加密数据库仅支持单写者场景的局限。在单写者加密数据库中，只有拥有加密密钥的单一用户能够写入数据，而其他用户仅能读取，这限制了在协作环境（如医疗记录共享、供应链管理）中
CoLD: Collaborative Label Denoising Framework for Network Intrusion Detection.
标签噪声是网络入侵检测（NID）中的一个重大挑战，会导致错误分类并降低检测准确率。现有处理噪声标签的方法通常缺乏对网络流量的深入理解，盲目重建标签分布以过滤带噪声样本，从而性能欠佳。本文从因果关联的角度揭示了噪声标签对入侵检测模型的影响，将
A Public and Reproducible Assessment of the Topics API on Real Data.
本研究对谷歌提出的Topics API进行了公开、可重复的评估。该API旨在替代第三方Cookie，通过浏览器根据用户浏览历史推断出少量兴趣主题，供广告商实现定向广告，同时声称保护用户隐私。此前的研究争议集中在数据集真实性和结果可重复性上：
CaFA: Cost-aware, Feasible Attacks With Database Constraints Against Neural Tabular Classifiers.
该论文提出了CaFA（Cost-aware Feasible Attacks）系统，旨在评估神经网络表格分类器在实际应用中对抗攻击的鲁棒性。表格数据具有结构化特征和复杂的相互关系，现有对抗攻击方法往往忽略攻击的可行性（即对抗样本在问题空间中
Tabbed Out: Subverting the Android Custom Tab Security Model.
本研究对Android系统中的Custom Tab（CT）组件进行了首次系统性安全评估。CT是一种移动端与Web交互的桥梁，旨在克服传统WebView的可用性局限，能够与底层浏览器共享状态，并在保持主机应用知情的前提下进行网页导航。然而，作
Zapper: Smart Contracts with Data and Identity Privacy.
本文提出Zapper，一个旨在为智能合约提供数据和身份隐私保护的系统。在区块链环境中，智能合约的执行数据通常对所有节点公开，这导致敏感信息（如交易金额、用户身份）面临泄露风险。Zapper通过集成先进的密码学技术（如零知识证明、同态加密或安
pMPL: A Robust Multi-Party Learning Framework with a Privileged Party.
本文针对传统基于安全多方计算的隐私保护机器学习（MPL）通常采用点对点架构，各方平等且都能揭示输出结果，但实际业务场景往往需要层次化架构，其中存在一个特权方领导机器学习任务，只有特权方才能揭示最终模型，即使其他辅助方合谋也无法获取模型。此外
Escaping the Confines of Time: Continuous Browser Extension Fingerprinting Through Ephemeral Modifications.
该论文提出了一种新颖的浏览器扩展指纹识别技术，能够绕过传统时间敏感的检测方法。通过利用浏览器扩展的瞬时修改，攻击者可以持续地识别用户安装的扩展，即使这些扩展在正常浏览过程中不会留下持久痕迹。研究展示了如何通过操纵扩展的API行为或临时注入内
SoK: Technical Implementation and Human Impact of Internet Privacy Regulations.
本文是一篇系统化知识（SoK）论文，旨在系统梳理全球互联网隐私法规的技术实现与人类影响。研究背景是：随着个人数据被滥用的风险日益凸显，各国陆续出台多项隐私保护法规，其中欧盟的《通用数据保护条例》（GDPR）和加州《消费者隐私法案》（CCPA
ANONYCALL: Enabling Native Private Calling in Mobile Networks.
该论文提出 ANONYCALL，一种在移动网络中实现原生私有通话的框架。当前移动通话中，呼叫方和被叫方的身份（电话号码）对网络运营商和中间节点可见，导致用户隐私泄露。ANONYCALL 旨在通过轻量级密码学协议与信令系统改造，在不改变现有蜂