From Scanner to Stealer: Inside the trivy-action Supply Chain Compromise
From Scanner to Stealer: Inside the trivy-action Supply Chain Compromise
2026-06-17 归档
今日共收录 1195 条安全情报，包含 310 个 CVE，456 篇安全通告，以及 103 篇研究论文。
← 返回归档列表Next-Gen Identity Security
Next-Gen Identity Security
CrowdStrike Named a Leader in Identity Threat Detection and Response
CrowdStrike Named a Leader in Identity Threat Detection and Response
CrowdStrike Named an Innovation and Growth Leader in the 2026 Frost Radar™: Cloud and Application Runtime Security
CrowdStrike Named an Innovation and Growth Leader in the 2026 Frost Radar™: Cloud and Application Runtime Security
CrowdStrike Expands Identity Leadership with OpenID and IDPro
CrowdStrike Expands Identity Leadership with OpenID and IDPro
cloud architecture assessment
cloud architecture assessment
ransomware and multifaceted extortion defense
ransomware and multifaceted extortion defense
Google Cloud Next 2026Save the date for Next ‘26: April 22-24, 2026, at Mandalay Bay Convention Center in Las Vegas.Subscribe for updates
Google Cloud Next 2026Save the date for Next ‘26: April 22-24, 2026, at Mandalay Bay Convention Center in Las Vegas.Subs
Can CISOs Trust Their Applications? TrustCloud Wants to Replace the Questionnaire
By continuously analyzing security, infrastructure, and governance data, TrustCloud aims to give CISOs a real-time view
Investigating Web Service Account Remediation Advice.
该论文研究了网络服务账户被入侵后的修复建议问题。作者通过收集和分析多家主流网络服务提供商（如电子邮件、社交媒体、金融平台等）在其帮助中心、安全指南中提供的账户修复建议，评估了这些建议的完整性、准确性和实用性。研究发现，许多服务商的修复建议存
Preventing SIM Box Fraud Using Device Model Fingerprinting.
该论文针对SIM Box欺诈这一国际性大规模诈骗问题，提出了一种基于设备模型指纹的预防机制。SIM Box被广泛用于绕过移动网络运营商的计费系统，通过伪装成本地号码进行诈骗呼叫，每年造成数十亿美元的损失。现有防御方案主要聚焦于检测欺诈呼叫会
Using a Blocklist to Improve the Security of User Selection of Android Patterns.
本研究探讨了通过黑名单机制提升Android图案锁安全性的方法。Android图案锁允许用户在3x3网格上连接点形成图案，但用户常选择易被猜测的图案。先前研究提出过多种策略（如强制使用更长图案），但易用性下降。本文提出在用户选择图案时，若图
Browser Permission Mechanisms Demystified.
该研究聚焦于现代Web浏览器中权限机制的实现与行为一致性。尽管权限机制对保护用户隐私至关重要（如控制摄像头、麦克风、GPS等设备资源的访问），但此前缺乏对多种浏览器实现行为的系统性理解。为此，作者开发了PERMIUM，一个自动分析浏览器权限
DPImageBench: A Unified Benchmark for Differentially Private Image Synthesis.
本文针对差分隐私（DP）图像合成领域的研究现状，指出当前存在不一致甚至存在缺陷的评估协议，阻碍了方法的理解和领域发展。为此，作者提出了DPImageBench，一个统一的基准测试框架，从三个维度精心设计：（1）方法层面，研究了12种主流方法
IND-CPA-D of Relaxed Functional Bootstrapping: A New Attack, A General Fix, and A Stronger Model.
全同态加密（FHE）是许多实际应用中的强大原语。最近，Li和Micciancio在Eurocrypt'21上提出了IND-CPA-D安全模型，该模型通过允许攻击者访问针对诚实生成密文的解密预言机来加强标准IND-CPA安全。Jung等人（C
Tactics, Threats & Targets: Modeling Disinformation and its Mitigation.
该论文针对虚假信息（disinformation）的缓解难题展开研究。虚假信息被广泛用于影响公众舆论、损害公共卫生甚至煽动暴力，但其缓解工作面临资源稀缺的困境——虚假信息泛滥但缓解人员不足。作者通过对全球多家组织中的事实核查员、记者、信任与
Understanding Privacy Attitudes and Concerns Towards Remote Communications During the COVID-19 Pandemic.
该论文针对COVID-19疫情期间全球大规模转向远程通信（视频会议、远程办公、在线学习等）的背景下，用户对隐私和安全的态度、行为及担忧进行了系统研究。研究背景指出，尽管远程通信在疫情后仍将持续，但用户隐私和安全保护面临新挑战。作者通过Pro
Pixnapping: Bringing Pixel Stealing out of the Stone Age.
像素窃取攻击是一种跨域信息泄露技术，允许恶意网站通过嵌入受害者网站的iframe并使用SVG滤镜计算像素值，从而侧信道泄露敏感内容。该攻击由Stone于2013年首次提出，但现代浏览器和网站通过严格限制iframe的嵌入（如X-Frame-
yt-dlp: Arbitrary command injection possible if --exec option used with yt-dlp
### Summary yt-dlp's `--exec` option is vulnerable to arbitrary command injection when handling untrusted metadata if th
Attackers Exploit Three Fortinet FortiSandbox Flaws, One Patched Last Week
CVE-2026-25089 · CVE-2026-39808 · CVE-2026-39813
Bad actors are exploiting multiple security vulnerabilities in Fortinet FortiSandbox, according to threat intelligence f