## Summary When FileBrowser is configured with proxy authentication (`auth.method=proxy`), any unauthenticated attacker who can reach the server directly can impersonate **any user - including admin** - by sending a single forged HTTP header. No credentials are required. Additionally, specifying a non-existent username causes the server to **automatically create a new user account**, providing an

Open WebUI is an extensible, feature-rich, and user-friendly self-hosted AI platform. Prior to 0.10.0, backend/open_webui/routers/terminals.py built the ws_terminal upstream URL from an unencoded session_id and appended user_id as a query parameter, allowing query injection to make the terminal backend resolve another user identity; the HTTP proxy path also forwarded X-User-Id as an integrity-unbo

### Summary The `/api/icon/getDynamicIcon` endpoint is explicitly excluded from authentication in SiYuan's kernel router (`router.go`, "不需要鉴权" -- no auth needed). When called with `type=8` and a valid block `id` parameter, this endpoint invokes `RenderDynamicIconContentTemplate`, which executes a Go template that includes the `querySQL` and `queryBlocks` functions. These functions run arbitrary S

Ivanti Endpoint Manager Mobile 存在代码注入漏洞，该漏洞允许攻击者通过向受影响组件发送特制的请求或输入，在目标系统上注入并执行任意代码。由于该平台用于管理企业移动设备，漏洞可能导致攻击者完全控制设备管理服务器，进而窃取敏感数据、部署恶意负载或中断服务。目前漏洞细节尚未完全公开，但已被安全社区收录。

Huawei Secoway USG firewall weak password

Yokogawa YFGW410 gateway

Authentication Bypass Using an Alternate Path or Channel vulnerability in miniOrange Security Software Pvt Ltd. OAuth Single Sign On - SSO (OAuth Client) allows Password Recovery Exploitation. This issue affects OAuth Single Sign On - SSO (OAuth Client): from n/a through 38.5.8.

The miniOrange Social Login and Register (Discord, Google, Twitter, LinkedIn) plugin for WordPress is vulnerable to authentication bypass leading to account takeover in versions up to and including 7.7.0. This is due to the Profile Completion flow accepting an arbitrary email address via the 'email_field' POST parameter without verifying that the email belongs to the identity returned by the OAuth

### Summary The attribute-view (database) cell renderer `genAVValueHTML` interpolates cell content raw in four of its branches: `text`, `url`, `phone`, and `mAsset`. A cell value like `` or `">` breaks out of its surrounding tag and runs arbitrary JavaScript in the renderer when the victim opens the block-attribute panel. On Electron desktop the renderer runs with `nodeIntegration:true`, so the X

## Summary The `/authorize` endpoint accepts any `redirect_uri` without validating it against `AllowedOrigins`. When `response_type=token` or `response_type=id_token`, the server appends `access_token`, `id_token`, and `refresh_token` as query parameters and issues a 302 redirect to the attacker-supplied URL. An unauthenticated attacker can obtain the required `client_id` from the public `/graphq

### Summary A CSS snippet body containing `` breaks out of its surrounding `` tag when `renderSnippet()` interpolates it via `insertAdjacentHTML`. A payload like `` runs arbitrary JavaScript in the renderer. On Electron desktop builds the renderer runs with `nodeIntegration:true`, so `require('child_process')` is reachable from the injected handler and the XSS chains to host RCE. Snippets sync vi

本文首次对iOS 14引入的本地网络权限进行了全面分析，从技术和用户两个维度展开。技术方面，研究者通过系统性地访问本地网络，发现两种通过WebView绕过权限的方法，并指出受保护的本地网络地址范围不足。通过对10,862个iOS和Android应用进行大规模动态分析，揭示了应用访问本地网络的模式及iOS与Android之间的差异。用户方面，基于权限弹窗中呈现的概念，设计并实施了一项N=150的在线调查，评估用户对权限的理解、威胁认知及常见误解。结果显示，虽然83.11%的参与者能意识到至少一种威胁，但84.46%的人存在误解，表明该权限的概念对用户而言高度技术化，难以做出明智决策。本研究为移动操作系统权限设计提供了重要参考，并提出了改进建议。

边界网关协议（BGP）作为互联网事实上的域间路由协议，面临不断涌现的安全威胁，严重影响互联网可靠性。现有的基于机器学习的BGP威胁检测方法需要大量标注数据和专家参与，成本高且劳动密集，同时无法充分利用互联网上持续生成的海量未标注BGP数据。本文提出FIRE（Few-Shot Inter-Domain Routing Threat Detection with Large-Scale Multi-Modal Pre-Training），一种利用大规模多模态预训练实现少样本域间路由威胁检测的方法。FIRE通过设计领域特定的预训练任务，从大规模未标注BGP数据中获取丰富的BGP隐式知识，从而支持少样本学习。实验表明，FIRE仅需少量标注样本即可精确识别BGP威胁，例如在路由泄漏检测中，仅用8个事件进行微调即可达到93.2%的精确率。该方法降低了数据标注和专家知识的需求，为BGP安全检测提供了高效、低成本的解决方案。

CrowdStrike与Zscaler联合宣布合作，将持续身份安全引入零信任访问架构。该合作旨在结合CrowdStrike Falcon平台的端点检测与响应（EDR）能力以及Zscaler的零信任网络访问（ZTNA）解决方案，实现基于用户身份、设备健康和实时风险评分的动态访问控制。通过持续验证用户身份和端点安全状态，企业可以在用户访问应用前自动评估风险，并在检测到异常行为时实时撤销访问权限。此集成有助于防御基于身份的攻击，如凭据盗窃和横向移动，同时减少对传统VPN的依赖。两家公司强调，该方案支持混合办公环境，并简化了安全策略管理。文章未提及具体漏洞、恶意软件或攻击活动，而是聚焦于技术合作与产品整合。

CrowdStrike 于 2026 年 7 月 11 日发布博客，宣布推出针对 AI 代理的持续身份认证（Continuous Identity for AI Agents）功能。该功能旨在解决 AI 代理在运行时面临的身份和访问管理挑战，确保 AI 工作负载在执行任务时能够持续验证身份，防止凭证滥用和未经授权的访问。这一更新是 CrowdStrike Falcon 平台的一部分，通过集成身份威胁检测与响应（ITDR）能力，扩展了对非人类身份（如服务账户、API 密钥和 AI 代理）的保护。博客指出，随着 AI 代理在自动化决策和操作中扮演越来越重要的角色，传统的静态凭证管理方式已不足以应对风险，需要实时、动态的身份验证机制。该功能支持与主流 AI 框架和云服务集成，提供可见性和控制力。

Citrix NetScaler 内存泄漏(CVE-2025-5777)

本文提出了一种针对持久化AI代理的运行时防御框架TokenWall。持久化AI代理将大语言模型从单轮对话扩展为长期运行的软件系统，其不安全的语义内容可通过持久状态、可复用技能和工具中介交互传播，形成巨大的语义攻击面。作者观察到这类代理中大多数安全关键交互通过自然语言token流传输，包括记忆更新、工具参数、检索文件和组件间通信，因此将不安全行为建模为在到达特权运行时接收器之前可被拦截的风险语义流。TokenWall作为语义防火墙，对代理token流进行边界感知的语义审计：构建结构化源-接收器审计记录，在执行前进行轻量级本地检查，并将模糊的高风险案例升级到更强的仲裁模块。与依赖稀疏审计或远程大模型监督的先前方法不同，TokenWall实现了全覆盖的执行前中介，同时减少了远程仲裁和延迟。在CIK-Bench上的实验表明，TokenWall将攻击成功率降至12.5%，同时保持97.4%的良性可执行通过率（无需人工确认），并且仅增加0.69秒的额外延迟。该工作证明了语义运行时隔离能够在持久化AI代理中实现实用的安全-效用权衡。

Open WebUI is an extensible, feature-rich, and user-friendly self-hosted AI platform. From 0.9.6 before 0.10.0, _verify_knowledge_file_access only checked read access while file write and delete routes later trusted object-derived access through writable model meta.knowledge entries, allowing a user with read-only knowledge file access to upgrade to file write or delete operations. This issue is f

Open WebUI is an extensible, feature-rich, and user-friendly self-hosted AI platform. From 0.6.27 before 0.10.0, get_all_models handlers in routers/openai.py and routers/ollama.py passed a lambda to aiocache key instead of key_builder, causing permission-filtered per-user model lists to share a static cache entry and exposing one user’s model list to another caller during the TTL window. This issu

Open WebUI is an extensible, feature-rich, and user-friendly self-hosted AI platform. Prior to 0.10.0, the file upload path accepted metadata.knowledge_id and auto-linked uploaded files to a target knowledge base without applying the write-access check used by /api/v1/knowledge//file/add, allowing read-only knowledge-base users to add arbitrary files. This issue is fixed in version 0.10.0.

## Description A vulnerability was discovered in TSDProxy where it forwards its internal per-process authentication token to all proxied backend services. When `identityHeaders` is enabled (the default), tsdproxy injects `x-tsdproxy-auth-token` into every upstream HTTP request alongside user identity headers. This token is the same secret used by the management HTTP server to trust forwarded Tail

9Router is an AI router & token saver. Prior to 0.4.80, the /api/settings/database endpoint allows full database export (containing all credentials, API keys, OAuth tokens, and settings) and full database import (complete overwrite) without any authentication requirement beyond the ALWAYS_PROTECTED middleware check, which only validates JWT or CLI token. This issue is fixed in version 0.4.80.

MERCURY MIPC252W IP camera v1.0.5 Build 230306 Rel.79931n does not implement nonce expiration in RTSP Digest authentication. An adjacent network attacker can capture a legitimate authentication exchange and replay the nonce and response values in a new connection to bypass authentication without knowledge of the device credentials, gaining unauthorized access to the live video stream.

## Summary `renderPackageREADME` in `kernel/bazaar/readme.go` renders a Bazaar package README from Markdown to HTML with the lute engine and `SetSanitize(true)`. The lute sanitizer is an event-handler blocklist: `allowAttr` rejects only attribute names present in a fixed `eventAttrs` map copied from the w3schools legacy handler list. That map omits modern event handlers. `onpointerover`, `onpoin

## Summary The patch for CVE-2026-41894 ("Path Traversal via Double URL Encoding") sanitized the `/export/` route but the **identical root cause remains in the `/assets/*path` route**. In publish mode (anonymous read-only HTTP endpoint, default port 6808), an unauthenticated remote attacker can read arbitrary files inside `WorkspaceDir` — including `conf/conf.json` (which contains the `Acc

Deloitte AI Assist for Customer exposed unauthenticated API endpoints that allowed an attacker with knowledge of additional parameters to read from or inject content into the retrieval-augmented generation (RAG) corpus. On 2026-03-25, AI Assist for Customer restricted network access and enforced authentication for the previously exposed endpoints.

PLANET VDR-300NU ADSL Router - 未授权修改DNS

Acknowledgements

多款Huawei路由器信息泄露漏洞

该论文提出了一种名为FUZZNG的新型内核模糊测试方法，旨在解决现有操作系统模糊测试工具（如Syzkaller）依赖手动编写的系统调用接口描述（语法规则）的扩展性问题。Syzkaller需要为每个内核接口提供精确且详细的语法描述，这限制了其可扩展性，并且手动创建这些描述非常耗时。FUZZNG利用内核设计的基本特性（例如系统调用编号和文件描述符）来重塑和简化模糊器的输入空间，从而无需复杂的系统调用接口描述即可工作。具体来说，FUZZNG只需要一个小的配置文件，包含要探索的文件列表和系统调用编号，即可开始测试。作者在Linux内核上实现了FUZZNG，并在10个已有Syzkaller详细描述的Linux组件上进行了测试。实验结果表明，FUZZNG平均达到了Syzkaller覆盖率的102.5%，并且发现了9个新漏洞，其中5个位于Syzkaller已经模糊测试多年的组件中。此外，FUZZNG的配置文件大小仅为Syzkaller手动编写语法的1.7%以下，且不需要初始种子输入或专家指导。该工作为内核模糊测试提供了一种更轻量级、更易扩展的方法，尤其适用于快速评估新内核组件或接口的安全性。

The charging station websocket endpoint accepts connections without proper authentication, which could lead to privilege escalation.

OpenPLC Runtime v3 contains an authenticated arbitrary file write vulnerability in the legacy web UI program‑upload workflow. The application stores an attacker‑supplied filename (prog_file) directly into the Programs.File database field and later uses this value as the destination path for an uploaded file without validating or restricting the path. Because Python os.path.join() honors attac

MCP Server Kubernetes before 3.9.0 contains an argument injection vulnerability in structured tools (kubectl_get, kubectl_describe, kubectl_delete) that allows attackers to bypass the assertNoDangerousFlags security check by supplying resourceType and name parameters with leading dashes. Attackers can inject the --server flag to redirect kubectl commands to an attacker-controlled API server, causi

Improper neutralization of special elements used in an SQL command ('SQL injection') vulnerability in Semtek Informatics Software Consulting Trade Ltd. Co. SEM-PMP allows Command Line Execution through SQL Injection. This issue affects SEM-PMP: through 23042026.

HestiaCP before 1.9.5 contains a stored cross-site scripting vulnerability that allows authenticated low-privilege users to inject arbitrary HTML by creating a DNS record with a double-quote followed by a script payload in the value field. The application fails to apply htmlspecialchars() encoding to the DNS record value field rendered into the data-sort-value HTML attribute in list_dns_rec.php, a

SiYuan v3.6.5 and earlier versions contain a stored cross-site scripting (XSS) vulnerability in the Attribute View (database) asset cell renderer that escalates to remote code execution (RCE) in the Electron desktop client. This is a neighbor-bug of CVE-2026-44588: the fix for -44588 used `escapeAriaLabel()` (double-escapes `${item.name || item.content}`; The `>${item.name || item.content}` por

### Impact A PHP Object Injection vulnerability affects the PrestaShop module `ps_facetedsearch`. The module rebuilds the selected search filters from the request URL. The value of a slider filter (**price** or **weight**) is taken from the URL without sufficient validation, then stored in an internal filter-block cache where it is serialized and later read back with a raw native `unserialize()`

## Overview The Hook Authentication feature in File Browser allows administrators to delegate login verification to an external shell command. User-supplied credentials (username and password) are interpolated into this command string using `os.Expand` without sanitization. An **unauthenticated remote attacker** can inject shell metacharacters in the username or password field at the login screen

## Summary SiYuan Note's kernel HTTP server unconditionally trusts all `chrome-extension://` origins, granting `RoleAdministrator` access to every installed browser extension without any authentication. Combined with the default empty `AccessAuthCode` on desktop installs, any Chrome/Chromium extension -- including a compromised legitimate extension via supply chain attack -- can make fully authen

本文介绍了Akamai推出的AI防火墙（Firewall for AI），是一款专为保护AI应用和服务而设计的云安全产品。该产品旨在防御针对AI模型的分布式拒绝服务（DDoS）攻击、机器人程序（botnet）攻击以及其他网络威胁。Akamai利用其全球边缘网络和智能分析能力，提供实时检测与缓解方案，帮助组织确保AI系统的可用性和完整性。文章未提供具体的攻击事件或技术细节，而是作为产品公告发布。

Researchers at Ledger's Donjon security team have shown that a precisely timed laser pulse, aimed at the chip inside a Tangem crypto wallet card, can reset the card's password to anything the attacker picks. No old password. No backup card. Once it is reset, whoever did it controls the wallet and can move the coins out. This is not an emergency for most owners. The attack needs

Researchers ran 281 of the most popular free VPN apps on the Google Play Store through a new testing system and found that many fail at the basics people install a VPN for, i.e., keeping their traffic private and secure. The apps flagged with at least one problem have been installed more than 2.4 billion times. The problems are basic, not sophisticated. 29 apps let user traffic leak outside

Firefox browsers

Sign in to Cloud

Sign Up for Free Cloud Tier

iOS 26.4.2 and iPadOS 26.4.2

iOS 18.7.8 and iPadOS 18.7.8

iOS 18.7.7 and iPadOS 18.7.7

iOS 26.4 and iPadOS 26.4

Background Security Improvements for iOS, iPadOS, and macOS

iOS 16.7.15 and iPadOS 16.7.15

iOS 15.8.7 and iPadOS 15.8.7

iOS 26.3 and iPadOS 26.3

iOS 18.7.5 and iPadOS 18.7.5

iOS 26.2 and iPadOS 26.2

iOS 18.7.3 and iPadOS 18.7.3

Compressor 4.11.1

iOS 18.7.2 and iPadOS 18.7.2

iOS 26.1 and iPadOS 26.1

iOS 26.0.1 and iPadOS 26.0.1

iOS 18.7.1 and iPadOS 18.7.1

Android Code Search

Android Devices

Secure an Android device

Android 16 QPR2

Mobile network security

iOS 26.5 and iPadOS 26.5

iOS 18.7.9 and iPadOS 18.7.9

iOS 16.7.16 and iPadOS 16.7.16

iOS 15.8.8 and iPadOS 15.8.8

MFSA 2026-49Security Vulnerabilities fixed in Firefox for iOS 151.0

MFSA 2026-52Security Vulnerabilities fixed in Firefox for iOS 151.1

MFSA 2026-53Security Vulnerabilities fixed in Firefox for iOS 151.2

MFSA 2026-55Security Vulnerabilities fixed in Focus for iOS / Klar 151.3.1

MFSA 2026-56Security Vulnerabilities fixed in Firefox for iOS 152.0

iOS 26.5.2 and iPadOS 26.5.2

MFSA 2026-65Security Vulnerabilities fixed in Firefox for iOS 152.3

【大模型服务平台 TokenHub】&【智能体开发平台】& 【云开发 CloudBase】 关于腾讯云 MiniMax-M2.5 模型下线及切换升级的通知

The ChromeOS Stable channel is being updated to OS version 16667.62.0 (Browser version 149.0.7827.238) for most ChromeOS devices.If you find new issues, please let us know one of the following ways:File a bugVisit our ChromeOS communitiesGeneral: Chromebook Help CommunityBeta Specific: ChromeOS Beta Help CommunityReport an issue or send feedback on ChromeInterested in switching channels? Find out

Hi everyone! We've just released Chrome Dev 152 (152.0.7940.2) for Android. It's now available on Google Play.You can see a partial list of the changes in the Git log. For details on new features, check out the Chromium blog, and for details on web platform updates, check here.If you find a new issue, please let us know by filing a bug.Chrome Release TeamGoogle Chrome

该研究针对多模态大语言模型（MLLM）中的机器遗忘（Machine Unlearning）机制的安全性提出质疑。MLLM在训练时可能无意中编码了隐私敏感数据，因此多模态机器遗忘（MMU）被用于强制模型遗忘这些信息。但作者发现，当模型公开后，恶意用户可通过一种名为“提示优化参数抖动”（POPS）的对抗策略，近乎完整地恢复出本应被遗忘的知识。POPS方法包含两个阶段：首先通过后缀优化（prompt-suffix optimization）诱导受害者模型生成潜在的隐私样本；然后利用这些合成输出对模型进行微调，从而揭露真实的隐私信息。实验在多个MMU基准测试上进行，结果表明现有MMU算法存在严重缺陷，POPS能够实现近乎完全的知识恢复，揭示了基于MMU的隐私保护存在根本性漏洞。该论文对MLLM隐私保护领域提出了严峻挑战，提示安全从业者需要重新审视和加强遗忘机制的鲁棒性。

论文提出了一种针对LLM agent轨迹日志的鲁棒水印方法TRACE，旨在解决agent通过reseller分发时的归属争议问题。在现实场景中，开发者将LLM agent交付给reseller，reseller可能重新品牌或替换为更便宜的模型，导致来源纠纷。轨迹日志（记录工具调用、观察结果和执行动作，而非模型推理）是唯一归属证据，但reseller拥有对该日志的完全读写权限，现有水印方法因直接嵌入日志而无法抵抗篡改。TRACE是首个在动作选择上无失真、在删除操作下自同步、在改写操作下无条件不变异的agent水印。其核心创新在于双通道互补嵌入：选择通道（selection channel）基于局部内容键控，通过无失真采样器决定选择哪个动作，保证agent分布不变，且检测能在删除后重新同步；计数通道（tally channel）基于日志骨架（仅位置信息）键控，决定每个决策组中的记录数量，任何改写都无法改变骨架。理论证明水印信号由决策熵换取，每次决策至少付出其熵的一半，确定性决策无需熵。实验在ToolBench和ALFWorld上验证，TRACE匹配无水印agent的成功率，选择通道在长程轨迹上检测分数接近z=100，在删除70%步骤后仍可检测，计数通道在任何强度的LLM改写下保持完全不变。该工作为LLM agent的安全归属和抗篡改提供了新思路。

该论文针对关键基础设施中操作技术（OT）环境无法主动扫描、但风险评估和合规管理仍需主动系统反馈的困境，提出了一种基于模型上下文协议（MCP）的非侵入式多智能体管道。该管道将自然语言描述的系统文档转化为经过源验证的知识图谱，并自动生成符合NIST OSCAL格式的审计就绪产物（系统安全计划和安全评估报告），实现持续的自动化合规管理。架构上，论文将基于大语言模型（LLM）的推理与针对权威威胁情报源的确定性知识检索解耦，从而减少虚构漏洞和幻觉攻击路径的风险。在一个基于证据的水务设施合成场景中，管道实现了0.90的CVE召回率和完美的D3FEND召回率，并生成了模式有效的OSCAL文档。然而，论文的核心洞察并非通过MCP接地能完全消除错误（如幻觉），而是将错误转移到了从自然语言描述中提取资产的第一阶段：一个错误提取的实体可能导致后续阶段生成真实但不相关的CVE，消耗时间和资源。尽管如此，该方法使得残余风险可见、可验证，且由于基础设施信息（如版本号、操作系统等）通常是已知的，适合进行高效的人工审查。

随着大型语言模型（LLM）成为重要的生产力工具，将其集成到工作流程中若缺乏足够保护会带来显著的数据泄露风险。本文提出了一种开源、隐私优先、面向用户的防火墙架构，旨在保护基于 Web 和编程接口的 LLM 交互安全。该架构结合了浏览器扩展与代理服务器，实现对 HTTP(S) 和 WebSocket 通信的全流量拦截。核心是一个灵活的多智能体处理流水线，采用确定性检测器与 LLM 驱动的语义分析相结合的混合方法，实现数据泄露防护；同时具备专有代码泄露防护能力，并提供可扩展组件以支持未来安全增强（如提示注入规避）。框架的分层架构支持异构环境部署，使组织能够在计算成本、检测深度和延迟之间进行平衡。实验结果表明，在最优配置下，该框架的 F1 分数可达 94.93%。本文适合关注 LLM 使用场景下数据安全的蓝队、安全架构师及安全研究人员阅读。

本文提出 ECO/CPO-DAG，一个针对对抗性供应链的问责协议，将矛盾检测形式化为补充验证层，而非共识或真理建立机制。参与者将签名的事件声明对象（ECO）发布到一个因果有序、只追加的有向无环图（DAG）中，边编码了发生在先关系。当关于同一主体的两个声明违反领域约束时，任何观察者可以编译一个矛盾证明对象（CPO），这是一个自验证对象，绑定两个签名声明和违反的规则，公开验证后触发对确定责任方的经济惩罚。协议将约束映射到 GS1 EPCIS 2.0 事件语义（空间唯一性、时间单调性、数量守恒、质量单调性、监管有效性），从而检测实际有意义的矛盾。通过承诺方案和可选的零知识矛盾证明进行选择性披露，允许各方在挑战触发最小披露前隐瞒声明内容。论文给出了分析处理：独立观察者检测模型 1-(1-p_min)^h，k 方共谋下的威慑条件 S>g(1-p)/(kp)，以及假设条件下每个参与者每年约 1 GB 的存储估计。协议边界明确：它检测可证明的矛盾，而非一致的谎言；从不自相矛盾的一方对其不可见，因此该层补充而非替代源验证和预言机聚合。单机参考实现验证了检测模型，预测的覆盖范围与每个观察者数量下测量的 95% 置信区间重叠，且记录零误报；完全零知识 CPO、多方传播和自适应对手规避仍为分析性。

本文针对大语言模型代理（LLM agents）在执行任务时面临的完整性风险，提出了一种名为上下文到执行完整性（Context-to-Execution Integrity, CXI）的执行边界系统。LLM agents通常读取攻击者可写入的上下文（如用户输入、外部数据）来解决问题，但工具调用需要独立的权限检查，以保护敏感接收器字段、接收器解释的有效载荷以及调用事件本身。CXI通过以下机制实现完整性：策略标记受保护的接收器字段；类型化发布将经过窄验证的值从可写上下文传递到特定目标；不透明数据槽将证据保留为数据；确定性门控仅当字段权限、精确效果授权和调用权限都绑定到同一个动作清单时，才允许调用。作者在多个场景中评估了CXI：开放权重模型上的字段投影运行、AgentDojo实时 episodes（720个实时 episodes，1739次LLM调用）、代码代理精确效果基准（400个仓库 episodes，精确效果授权和租约绑定执行，产生231个安全任务完成，零字段、效果或调用逃逸）、清单绑定账本错误、提案压力控制以及托管/API兼容性跟踪。实验表明CXI能够有效防止字段、效果和调用逃逸。本文适合对LLM代理安全、系统完整性及权限控制感兴趣的研究人员和工程师阅读。

传统的自适应图像隐写成本函数设计需要大量手动调参，而深度学习方法又缺乏可解释性。大语言模型（LLM）通过进化生成提供了一种自动化替代方案，但由于缺乏显式领域知识，常常违反领域特定的数学约束。为了解决这一问题，本文提出了一种新颖的进化系统，利用检索增强生成（RAG）增强的LLM，自动生成空间图像隐写的代码级成本函数。该系统的核心是自进化RAG（SE-RAG）模块，其中代码语义签名（CSS）将过程代码转换为对齐的查询，从静态文献和动态经验知识库中检索显式指导，从而引导LLM生成过程。一个专门的反馈机制不断用成功的优化策略优化动态知识库。在BOSSBase和BOWS2数据集上的大量实验表明，该框架比现有的自动设计方法始终获得更高的隐写安全性，同时将平均代码执行率提高了46.3%，搜索成本降低了26.1%，从而凸显了将LLM与领域知识相结合在自动隐写算法生成领域的有效性、高效性和潜力。本文适合对隐写术、自动化算法设计以及LLM应用感兴趣的研究人员和安全从业者阅读。

该漏洞影响充电站系统的WebSocket端点。由于缺乏适当的身份验证，任何能够访问该端点的攻击者均可建立连接，进而可能利用该通道执行未经授权的操作。CVSS 3.1评分为9.8（严重），表明攻击者无需身份验证即可远程利用该漏洞，且攻击复杂度低，可完全破坏系统的机密性、完整性和可用性。具体而言，攻击者可能通过WebSocket接口实现权限提升，从而控制充电站的核心功能，例如修改充电参数、窃取用户数据或中断服务。受影响产品尚未明确，但通常此类漏洞广泛存在于各类充电站管理系统中。目前该漏洞尚未被列入已知被利用漏洞目录（KEV），也无在野利用报告。鉴于其高危害性和易利用性，该漏洞被评估为紧急漏洞。建议立即关注厂商安全公告，及时应用补丁；若无法立即更新，应严格限制WebSocket端口的网络访问，仅允许受信任IP连接，并加强相关日志监控。

OpenPLC Runtime v3 的遗留 Web UI 程序上传功能中存在一个经过身份验证的任意文件写入漏洞。应用程序将攻击者提供的文件名 (prog_file) 直接存入 Programs.File 数据库字段，后续在保存上传文件时未验证或限制路径，直接将该值用作目标路径。由于 Python 的 os.path.join() 函数会尊重攻击者控制的绝对路径，因此经过身份验证的攻击者可以在 OpenPLC Web 服务器进程可写的任意位置写入任意文件。在默认构建流程中，OpenPLC 运行时的所有 C++ 源文件（位于核心目录下）都会自动编译进可执行运行时二进制文件。通过向该目录写入恶意 .cpp 文件，当操作员触发正常的程序编译和运行时启动时，攻击者可将任意文件写入升级为任意本机代码执行。该漏洞 CVSS 评分为 9.9，属于严重级别，可导致完全控制受影响系统。目前尚未有在野利用的公开报道，也未列入 KEV 目录。建议尽快打补丁或升级版本，并限制 Web 管理界面的网络暴露。

Cloud & Application Security

From Scanner to Stealer: Inside the trivy-action Supply Chain Compromise

Next-Gen Identity Security

CrowdStrike Named an Innovation and Growth Leader in the 2026 Frost Radar™: Cloud and Application Runtime Security

CrowdStrike Expands Identity Leadership with OpenID and IDPro

cloud architecture assessment

ransomware and multifaceted extortion defense

Google Cloud Next 2026Catch-up sessions on the keynotes and select sessions are now available on demand.Explore content on-demand

The Identity Problem Hiding in AI Agent Deployments

94% of Organizations Report Cloud Breaches: CrowdStrike State of CDR Survey

Falcon Cloud Security June 2026 Release: Updates for Azure and Google Cloud

A new data-extortion group called Helix is using identity-focused tactics such as voice phishing (vishing), device code phishing, and multi-factor authentication (MFA) abuse to steal data from SharePoint environments. [...]

Unit 42 explores The Gentlemen ransomware operations, revealing the affiliate model driving its rapid growth. Learn more here. The post No Manners Here: The Ruthless Rise of The Gentlemen Ransomware appeared first on Unit 42.

AI agents are accelerating the growth of non-human identities, making it harder for organizations to understand what exists, who owns it, and what it can access. Netwrix explains why stronger visibility and identity governance are essential as AI expands the enterprise attack surface. [...]

该论文系统地综述了多模态遗忘（Multimodal Unlearning）领域的研究进展，涵盖了视觉、语言、视频和音频等多种模态。论文指出，随着视觉语言模型（VLMs）、扩散模型（DMs）、大语言模型（LLMs）和音频基础模型（AFMs）的广泛采用，这些多模态基础模型会无意中从训练数据中编码出敏感、版权、偏见或不安全的跨模态关联。由于训练数据庞大且不断更新，在收到删除请求或政策变更后重新训练模型往往不切实际，而针对性遗忘因知识分布在共享表示中而变得困难。多模态遗忘旨在解决这一挑战，通过在保留模型整体实用性的同时，选择性地移除特定模态中的信息。本综述提供了一个统一的、系统导向的多模态遗忘视角，涵盖了视觉、语言、音频和视频领域，基于最新的研究进展、新兴应用和未解决的问题。作者提出了一个分类体系，能够系统地比较不同模型架构和模态之间的遗忘方法，阐明删除强度、保留能力、效率、可逆性和鲁棒性之间的权衡。论文还强调了当前的研究空白和实际部署中的考量，为未来的研究和应用提供指导。此外，作者公开了一个精选的资源仓库，供相关研究者参考。该综述适合对AI安全、隐私保护、模型治理感兴趣的研究人员和工程师阅读。

攻击调查是安全运营中识别攻击步骤和根因的关键环节。传统方法依赖专家规则或图分析，难以应对复杂多步攻击。本文提出ATLAS，一种基于序列学习的攻击调查方法。核心思想是将系统日志转化为事件序列，利用深度学习模型（如LSTM）学习攻击模式，自动识别攻击路径。该方法首先对日志进行预处理，提取事件序列特征，然后使用序列分类模型区分正常与恶意行为。实验在真实数据集上验证，相比基线方法，ATLAS在精确率和召回率上均有显著提升，能够有效发现隐蔽攻击。主要贡献包括：1）提出序列化日志建模方式；2）设计轻量级深度学习模型；3）在多种攻击场景下验证有效性。适合安全分析师和研究人员阅读。

本文首次系统研究了针对基于深度学习的视频压缩与下游分类系统的对抗攻击。视频压缩在视频流媒体和分类系统中至关重要，旨在在有限带宽下最大化用户体验质量(QoE)。作者提出了名为RoVISQ的攻击框架，通过操纵视频压缩模型的率失真(R-D)关系，实现两个目标：(1)增加网络带宽消耗；(2)降低最终用户的视频质量。此外，该框架还设计了针对下游视频分类服务的定向与非定向攻击目标，使分类结果出错。RoVISQ的关键创新在于生成一种输入不变的通用扰动，能够实时且普遍地破坏视频压缩与分类系统，并且与以往攻击不同，该扰动能够抵抗压缩（即攻击效果不会因视频压缩而减弱）。实验在多个视频数据集上进行，结果表明RoVISQ攻击可使峰值信噪比(PSNR)降低高达5.6dB，比特率增加约2.4倍，同时对下游分类器的攻击成功率超过90%。用户研究也证实了攻击对用户QoE的显著影响。此外，RoVISQ在面对对抗训练、视频去噪和JPEG压缩等防御措施时仍表现出鲁棒性。这项工作揭示了深度学习视频压缩系统的安全漏洞，对视频流服务、监控系统和在线视频分类等应用构成实际威胁。

本文提出了一种基于可解释人工智能的入侵检测系统（XAI-IDS），旨在解决传统基于规则的入侵检测系统效率低下、规则更新滞后以及纯AI驱动系统决策过程不透明、误报率高的问题。XAI-IDS通过集成可解释的深度学习模型，利用树正则化技术将复杂神经网络模型转化为高效、透明的决策树，从而在保持检测精度的同时实现实时检测和可解释性。在两个基准数据集上的实验结果表明，XAI-IDS在检测准确率、误报率以及实时性方面均优于传统方法和现有AI方案。该研究为网络安全领域提供了一种兼顾性能与可解释性的入侵检测新范式，特别适用于需要快速响应和透明审计的场景，如企业内网防护和工业控制系统安全。

该论文通过大规模实证研究，分析了真实世界中恶意软件在执行过程中行为动态变化的现象。作者收集了来自多个来源的恶意软件样本，在沙箱环境中执行并记录其系统调用、网络流量、文件操作等行为轨迹。通过时序聚类和变化点检测算法，识别出恶意软件行为发生显著变化的时间点。研究发现，相当比例的恶意软件在执行中会改变其行为模式，例如先进行良性行为再突然执行恶意载荷，或根据环境反馈调整攻击策略。这种行为变化有助于恶意软件逃避基于静态特征或固定行为模式的检测系统。论文进一步评估了现有检测方法对这种动态行为的脆弱性，并提出了改进建议，例如利用行为序列的上下文信息和时序依赖性来增强检测鲁棒性。实验结果表明，考虑行为变化的检测模型能够显著提高对高级恶意软件的识别率。该研究为恶意软件行为分析提供了新的视角，并强调了动态行为建模在网络安全防御中的重要性。

本文提出Blitz，第一个无需两阶段提交就能实现安全的多跳支付方案。在闪电网络等支付通道网络中，多跳支付需要保证原子性：要么所有中间节点都收到资金，要么所有节点都不收到。现有方案依赖两阶段提交（2PC），但2PC在异步网络中可能因中间节点离线或恶意行为导致锁定资金被无限期锁定，且需要复杂的数据结构如HTLC。Blitz通过引入新的密码学原语“条件数字签名”和“可验证秘密重分配”，实现了无需两阶段提交的原子交换。具体地，发送方生成一系列条件签名，中间节点只有在前一跳成功转移资金后才能解锁下一跳，从而避免资金锁定风险。Blitz还支持离线接收方，并提供了对现有闪电网络协议的向后兼容性。实验表明，Blitz在通信轮次和计算开销上均优于基于2PC的方案，通信开销减少约50%。论文还证明了Blitz在通用可组合安全模型下的安全性。该工作对支付通道网络的扩展性和用户体验有重要改进。

本论文聚焦于解决网络仿真测试平台中缺乏可重现视频流流量生成工具的问题。视频流流量占互联网流量主导地位，但现有工具难以在受控环境中生成具有代表性且可重现的流量，这限制了流量分类、服务质量（QoS）算法及流量工程系统的评估。作者提出了一个工具集，能够生成多种可重现的视频流流量模式。初步工作中，他们探讨了27种不同的流媒体视频流量类型组合，涵盖不同协议和传输特性，并通过实验展示了这些协议在网络层动态上的多样性，包括数据包大小分布、时间间隔模式及突发性等关键网络特征。该工具基于开源框架构建，支持在Docker等容器化或虚拟化测试床上部署，允许研究者精确控制流量参数并重复实验。主要贡献包括：1）填补了仿真测试环境中视频流流量生成工具的空白；2）提供了27种流量组合的详细配置，覆盖主流视频协议如HLS、DASH、WebRTC等；3）验证了生成流量的网络层动态与实际网络抓包数据的高度相似性，确保实验结果的可靠性。该工作尤其适用于网络研究、安全模拟及性能测试场景，为后续研究提供了标准化、可复现的流量生成基础。

本文针对动态可检索性证明（Dynamic Proofs of Retrievability, PoR）协议展开研究。PoR协议允许客户端远程存储数据，并通过审计高效地验证数据完整性。传统的PoR方案在支持动态更新（即高效检索和修改任意小部分数据）时往往需要复杂的编码或大量服务器存储开销。本文提出了新的简单动态PoR协议，旨在实际效率中权衡：通过增加服务器计算量来降低持久存储需求，并且通过时空下界证明表明这种权衡是固有的。关键创新在于，该方案不要求服务器上数据有任何特殊编码，因此可以轻松与任何数据库服务或现有加密/冗余技术组合。作者在Google Cloud Platform上实现了该方案并进行了部署测试，结果表明方案具有可扩展性：例如，审计1TB文件仅需不到5分钟，成本低于0.08美元。此外，文章还提出了若干增强功能，如减少客户端存储量、降低通信带宽，或实现公共可验证性（即任何不可信的第三方均可执行审计）。本文适合对云存储安全性、可检索性证明及其实践部署感兴趣的学术界和工业界研究人员。

本文提出 BinaryInferno，一种全自动的二进制消息格式逆向工程工具。针对一组具有相同格式的消息，该工具使用集成检测器推断出多个局部描述，然后自动将这些局部描述整合成一个语义有意义的完整格式描述，可用于解析后续相同格式的数据包。检测器集合是模块化、可扩展的，包括识别原子数据类型（如 IEEE 浮点数、时间戳、整数字段长度）的检测器、利用香农熵发现相邻字段边界的检测器，以及通过搜索常见序列化习语发现可变长度序列的检测器。在10个二进制协议的数据包集上评估，BinaryInferno 在顶级协议上的字段边界推断平均精度为0.69，召回率为0.73，误报率为0.04，显著优于五个现有工具（Awre: 0.18, 0.03, 0.04；FieldHunter: 0.68, 0.37, 0.01；Nemesys: 0.31, 0.44, 0.11；Netplier: 0.29, 0.75, 0.22；Netzob: 0.57, 0.42, 0.03）。通过语义驱动方法，工具在降低误报率的同时提高了精度，更符合用户对语义准确描述的需求。最后，局部描述被自动整合为完整格式。

该论文聚焦于安全协议执行中的细粒度可追踪性问题，提出了一种新的形式化框架，用于在协议执行中精确追踪参与方的身份、行为及其状态变化。研究背景是现有协议追踪技术通常粒度较粗，难以应对复杂攻击场景（如混淆代理、重放攻击）。核心方法包括定义一种扩展的迹语义（trace semantics），并引入可追踪性属性（trackability properties）的细粒度分类。通过案例研究（如Needham-Schroeder协议）验证了框架的有效性。实验表明，该方法能够揭示协议设计中隐藏的追踪漏洞，为改进协议安全性提供指导。主要贡献是建立了一个系统化的细粒度可追踪性分析理论，并提供了自动化工具原型。适合安全协议设计者、形式化验证研究人员以及关注隐私与问责制的安全分析师阅读。

论文研究了僵尸网络规模估计这一基本但困难的问题。由于ISP会动态重新分配IP地址，直接统计观察到的感染IP数量会导致严重高估。现有方法仅能处理短时间窗口（如小时级），且无法提供置信区间。本文提出CARDCount方法，通过建模IP地址重新分配过程，在更长的时间窗口（如数周）内进行更准确的规模估计，并首次给出置信区间。在Hajime和Mirai真实数据集上，CARDCount在28天窗口内的估计准确率比现有最优技术分别提升51.6%和69.1%。

该论文研究了基于有向无环图（DAG）的区块链协议，旨在解决CAP定理中活跃性（动态可用性）与安全性在网络分区下的权衡。论文提出了两类协议：结构化传播（针对活跃性）和分级公共前缀（GCP，针对安全性）。对于第一类，作者首次提出了具有恒定预期延迟（3Δ）的DAG协议，在睡眠模型下实现高吞吐量动态可用性，吞吐量随参与度线性扩展，并通过原型验证了性能优势。第二类GCP原语提供了网络分区下的安全性，但弱于标准共识，仅需2个通信步骤（现有低延迟部分同步BFT需4步），且不易依赖单一领导者，对崩溃更鲁棒。实验验证了理论优势。此外，论文将协议扩展到Ebb-and-Flow框架，集成两种协议，实现了混合DAG协议：高吞吐量、动态可用性以及网络分区下的最终性，无需像现有工作那样运行两次标准共识协议。适合对区块链共识、分布式系统容错、性能优化的研究人员和工程师阅读。

本文提出了一种名为“clubcard”的新型数据结构，用于优化WebPKI中的证书撤销状态分发。目前，CRLite是低带宽、低延迟且保护隐私的证书撤销数据分发机制，其核心是将撤销数据编码为紧凑的静态哈希集（成员测试）。然而，随着WebPKI规模的增长（截至2024年11月，有效证书超过9亿，撤销证书超过800万），原有的CRLite实现面临存储和带宽挑战。作者设计的clubcard是一种更高效的成员测试数据结构，能够以更小的体积编码撤销信息。基于Mozilla的CRLite基础设施进行实验，结果表明：使用clubcard编码WebPKI中所有证书的撤销状态仅需6.7 MB，相比2017年IEEE S&P上提出的原始CRLite实现减少了54%，甚至比该工作声称的理论下限还小21%。此外，clubcard支持序列化编码动态数据集（如WebPKI的撤销集合），针对6小时增量更新的平均压缩大小仅为26.8 kB，使CRLite真正具备实用性。作者已将clubcard生成功能集成到Mozilla的CRLite基础设施中，并在Firefox Nightly中添加了客户端支持（目前作为默认撤销检查机制）。论文还报告了实现的性能指标，并提出了进一步降低带宽需求的策略。该研究的主要贡献在于提出了一种更紧凑的撤销编码方案，降低了CRLite的带宽和存储开销，对提升HTTPS证书撤销检查的效率和可部署性具有重要意义。

全同态加密（FHE）允许云计算服务商直接在用户提供的密文上执行计算，而无需解密，这对于医疗、金融等隐私敏感领域的数据外包处理至关重要。然而，在该模式下，客户端普遍担心恶意服务器或服务器端漏洞可能导致数据、计算过程或结果被篡改，从而破坏结果的完整性和准确性。确保计算的可验证性且保持低开销仍是一个开放性问题。为了解决这一挑战，本文提出 DataSeal，一种将算法级容错（ABFT）技术与 FHE 机密性相结合的方案。ABFT 原本用于检测和容忍计算中的硬件故障，DataSeal 将其改造为可验证 FHE 计算完整性的轻量级机制。通过在多种应用场景下的实验评估，作者证明 DataSeal 在提供 FHE 计算可验证性方面，其空间与计算开销远低于传统方法（如消息认证码 MAC、零知识证明 ZKP、可信执行环境 TEE），并且随着问题规模增大，额外开销几乎可以忽略不计。该方案无需修改 FHE 底层密码原语，具有较好的实用性和可扩展性。DataSeal 的核心贡献在于将 ABFT 的校验思想推广到加密域，实现了低开销、高置信度的结果验证，为 FHE 在真实云环境中的可信部署提供了新的技术路径。

该论文研究了移动Arm系统级芯片（SoC）中集成多种协处理器和外设所带来的安全与效率挑战。现有方案依赖内存加密来保护I/O数据，但在移动平台中，实时数据处理和严格的功耗要求使得内存加密引入显著的性能和功耗开销，阻碍了Arm机密计算架构（CCA）的广泛采用。为此，作者提出了Portal，一种面向移动Arm SoC上Arm CCA的安全高效设备I/O接口。Portal通过利用Arm CCA提供的内存隔离机制，实现硬件级别的访问控制，确保只有指定的Realm虚拟机和外设能够访问受Portal保护的明文内存区域，从而在不使用内存加密的情况下实现安全I/O。这一设计消除了加密开销，支持动态外设集成，并保持强大的安全保证。实验评估表明，Portal仅引入一次性9.8%的性能开销，同时提升了可扩展性和能效，为在移动和资源受限环境中推广Arm CCA提供了关键解决方案。该工作适合计算机架构、系统安全和移动平台安全的研究人员阅读。

本文提出了一种名为SafeEar的新型音频深度伪造检测框架，旨在解决现有检测方法因必须访问完整原始录音而泄露语音内容隐私的问题。随着文本转语音（TTS）和语音转换（VC）技术的进步，生成的逼真音频被恶意用于深度伪造，对社会和个人构成威胁。现有对策主要依赖完整音频来判断真伪，但在涉及商业秘密等敏感信息的场景中，内容暴露是不可接受的。SafeEar的核心创新在于设计了一种神经音频编解码器作为解耦模型，将音频样本中的语义信息（如语言内容）和声学信息（如韵律、音色）分离，检测器仅利用声学特征进行深度伪造识别，从而完全避免语义内容暴露。为了克服缺乏语义线索时识别各种深度伪造音频的挑战，该方法引入真实世界的编解码数据增强技术，提升检测器的泛化能力。在四个基准数据集上的广泛实验表明，SafeEar在检测多种深度伪造技术时取得了最低2.02%的等错误率（EER），同时保护了五种语言的语音内容：机器和人类听觉分析的字错误率（WER）均超过93.93%，用户研究也证实了隐私保护效果。此外，作者构建了用于反深度伪造和反内容恢复评估的基准，为未来音频隐私保护与深度伪造检测领域的研究提供了基础。本文适合对音频安全、隐私保护及深度伪造检测感兴趣的研究人员和工程师阅读。

本文针对分布式学习中梯度共享引发的隐私推断风险进行了系统性研究。在分布式学习（如联邦学习）中，模型通过共享从用户敏感数据计算出的梯度进行迭代更新，但已有研究表明梯度可能泄露隐私。作者提出了一种统一的基于博弈论的框架，将多种隐私攻击（包括属性推断、性质推断、分布推断和用户身份披露）纳入其中。通过五个涵盖不同数据模态的数据集上的大量实验，分析了攻击者不同不确定性程度对其推断能力的影响，结果证实单纯依赖数据聚合（如平均梯度）无法有效抵御此类推断攻击。进一步，论文在静态和自适应对手两种设置下评估了五种防御机制：梯度修剪（只保留部分梯度）、符号梯度下降（仅传递梯度的符号）、对抗扰动（向梯度添加对抗噪声）、变分信息瓶颈（限制梯度中的信息量）以及差分隐私（向梯度注入经过校准的噪声）。从信息论角度分析了这些防御手段对梯度推断的抑制效果。最后，作者提出了一种审计属性推断隐私的方法，通过构造对抗性金丝雀记录（canary records）来改善最坏情况下隐私泄露的实证估计。本文适用于从事隐私保护机器学习、联邦学习安全以及分布式系统隐私审计的研究人员和工程师。

本文提出 CAPSID（Consumer Aircraft Privacy-preserving Session ID）系统，旨在解决美国联邦航空管理局（FAA）强制要求小型无人机（UAV）广播唯一序列号、位置和高度所引发的隐私问题。该强制规定使得无人机操作者面临被长期追踪的风险，甚至引发了针对 FAA 的诉讼。CAPSID 的核心思想是采用临时会话标识符替代固定的序列号，在满足监管合规性的同时保护操作者隐私。系统设计包括：通过密钥协商生成短期有效的会话 ID，无人机在空中广播该 ID 而非永久序列号；地面接收端（如执法机构）可通过授权机制解析会话 ID 以获取必要信息，但无法实现未经授权的持续追踪。论文详细描述了协议流程、密钥管理、会话更新机制以及抗伪造和重放攻击的安全分析。实验评估表明，CAPSID 在计算开销和通信带宽上均能满足小型无人机的资源限制，且与现有广播标准兼容。主要贡献包括：首个兼顾 FAA 合规与隐私保护的轻量级会话 ID 方案；形式化安全证明；以及基于实际无人机平台的性能测试。该工作适合无人机安全、隐私保护及监管技术领域的研究者和工程师阅读。

### Summary A client that can invoke MCP tools can read **arbitrary files from the server host** and exfiltrate them as Atlassian attachments. The attachment-upload tools take a client-supplied `file_path` and `open()` it on the **server's** filesystem. The upload tools are meant to attach a file from the **caller's** environment — the client supplies a path expecting it to refer to its own mach

### Summary CredSweeper's deep scanner does not enforce `recursive_limit_size` as a hard limit. Several recursive scanners fully decompress or fully read attacker-controlled content before the remaining budget is validated, and `AbstractScanner.recursive_scan()` continues processing even when the residual budget is already negative. This allows a crafted archive to bypass the intended recursive z

### Summary GHSA-7r34-79r5-rcc9's fix added `validate_url_for_ssrf`, which resolves the attacker-controlled `X-Atlassian-{Jira,Confluence}-Url` header host **once at middleware time** and trusts the result. But the outbound request is later built with the **raw hostname** and **re-resolves at connect time with no IP pinning**. An attacker-controlled rebinding DNS name returns a public IP on the gu

无人机开源飞控 PX4-Autopilot堆栈溢出漏洞 CVE-2025-15150

MongoDB内存泄漏 CVE-2025-14847(MongoBleed)

1Panel 代理证书验证绕过导致任意命令执行漏洞(CVE-2025-54424)

ModelContext Inspector 未授权访问漏洞(CVE-2025-49596)

llamaindex SQL 注入漏洞(CVE-2025-1750)

Screen 本地权限提升漏洞(CVE-2025-23395)

Zabbix认证后SQL注入漏洞(CVE-2024-42327)

ProjectSend认证绕过漏洞(CVE-2024-11680)

PyTorch库RPC框架反序列化RCE漏洞(CVE-2024-48063)

Grafana认证后DuckDB-SQL注入漏洞(CVE-2024-9264)

SPIP BigUp Unauthenticated RCE(CVE-2024-8517)

Rejetto HFS 远程命令执行漏洞(CVE-2024-39943)

Apache HugeGraph-Server Command Execution In Gremlin（CVE-2024-27348）

Zabbix 后台延时注入(CVE-2024-22120)

CrushFTP 认证绕过漏洞（CVE-2024-4040）

Alert for CVE-2026-21992

Alert for CVE-2025-61884

Alert for CVE-2025-61882

Alert for CVE-2024-21287

Alert for CVE-2022-21500

Alert for CVE-2021-44228

Linux 内核提权 CVE-2026-31431(copy-fail)

Alert for CVE-2026-35273

【安全通告】Linux Kernel "GhostLock" 本地权限提升漏洞风险通告（CVE-2026-43499）

本文提出了一种新的控制流证明（CFA）方案 KS-CFA，旨在检测控制流弯曲（CFB）攻击。CFB 攻击通过篡改分支标志、循环计数器等运行时数据，将程序执行沿着控制流图的合法边转向，难以被传统 CFA 检测。现有方案存在测量空间大、攻击覆盖不全或依赖底层硬件修改等问题。KS-CFA 结合符号执行和输入源控制流相关变量的选择性识别，仅关注直接从外部输入读取值的控制流相关状态子集。证明设备在可信执行环境（TEE）中记录控制流轨迹和外部输入，验证器通过单路径符号执行重放路径，预测每次转移并检测偏差。基于 RISC-V Keystone TEE 和 Embench-IoT 基准在 QEMU 和 Rocket FPGA 平台（NiteFury II）上实现评估，证明端开销为未经证明执行的 6.8-20.5 倍（QEMU）和 6.7-32.2 倍（FPGA），验证无需路径或值枚举。该方法可覆盖间接调用、条件跳转、间接跳转和返回四种转移类型，无需枚举大量测量空间。

本文提出了一种名为 zk-ScalHard 的硬件根植、隐私保护认证协议，旨在解决下一代分区架构软件定义汽车（Zonal SDV）中 OTA 更新的安全性和可扩展性问题。当前基于 PKI 的认证方案（如 Uptane）存在带宽瓶颈和隐私泄露风险，且随着 ECU 数量增加，计算和通信复杂度呈线性增长。zk-ScalHard 引入基于硅物理不可克隆函数（PUF）的分散式层次信任提升模型，并设计了两种新型零知识证明（ZKP）电路：区域身份与完整性电路（ZIDI）和高性能计算聚合电路（HPCA）。这些电路利用多方计算（MPC）和递归聚合技术，实现了去中心化和可扩展性。该协议实现了恒定的 O(1) 通信和验证复杂度，相比现有系统的线性 O(n) 复杂度有显著改进。实验评估显示，认证带宽降低了 99.2%，时间攻击面减少了 99.9%。此外，zk-ScalHard 通过结合 ZKP 和 PUF 确保 100% 的车辆级数据主权，符合 GDPR 合规要求，为未来分区 SDV 提供了可扩展、安全的认证架构。

该论文针对Raft共识协议在开放互联网环境（Internetware）中易受拜占庭攻击（如选举欺诈、日志篡改）的问题，提出了一种轻量级的拜占庭容错增强方案TRM-Raft。TRM-Raft将基于区块链的信任与声誉模型（B-TRM）非侵入式地集成到Raft核心中，通过量化多维度节点行为（如选举合法性、日志一致性、投票参与度等），并应用自适应惩罚机制区分偶然故障与恶意行为。在领导者选举阶段，引入声誉感知策略，排除低声誉节点成为候选人的资格，有效防止序号/任期伪造攻击。在日志复制阶段，采用Schnorr签名机制使追随者能够验证日志完整性，一旦发现篡改，会触发声誉衰减和领导者替换。在Hyperledger Fabric平台上针对典型Internetware场景的评估表明，即使在40%的节点为拜占庭节点时，TRM-Raft仍能将恶意领导者比例控制在5%以下，且相较于原生Raft，吞吐量损失小于10%，延迟增加小于5%。该方案为依赖Raft的Internetware系统提供了一种轻量级、实用的可信增强路径。

零知识机器学习（zkML）允许服务器在保持模型参数私密的情况下对客户端进行可验证推理。然而，现有zkML系统面临高昂的证明生成成本。研究发现，现有系统的证明生成过程并行化受限，即增加线程数无法显著减少证明时间，原因在于它们采用整体式证明计算，即对整个机器学习模型构建单个证明。为此，本文提出zkComposer，一种模块化证明构建框架，在现有证明内核的并行性之外释放了新的并行维度。zkComposer将zkML正确推理的证明分解为独立的子证明，每个子证明覆盖推理计算的子集（例如，ML模型中连续层的子集）。相邻子证明通过边界层激活的共享承诺进行加密链接。zkComposer提供与整体式证明相同的安全性保证，无需额外的链接证明或修改底层密码学原语。作者在三个CNN模型和GPT-2上实现了zkComposer并进行评估。实验结果表明，在CNN工作负载上，zkComposer相比zkCNN将证明者时间和响应时间最多减少3.25倍；在GPT-2上，按模型层分区时，相比zkGPT最多减少4.83倍；当同时按模型层和输入序列分区时，相比zkGPT最多减少6.84倍。该工作主要面向机器学习和密码学交叉领域的研究人员，尤其关注zkML系统性能优化的从业者。

该论文提出了一种名为 DiRLU 的轻量级框架，旨在解决物联网设备面临的僵尸网络攻击威胁。现有基于 AI 的检测方案存在两个主要局限：一是模型过于庞大，不适合部署在资源受限的物联网设备上；二是缺乏“遗忘”能力，无法在不重新训练的情况下移除敏感或过时的特征。DiRLU 框架通过强化学习（A2C 算法）训练教师模型，再结合知识蒸馏技术将知识迁移到一个轻量级的学生模型中。为了实现隐私保护，框架引入了一种事后遗忘机制，能够通过修改权重来选择性遗忘特定特征，同时保留恢复能力，且性能损失可忽略不计。与大多数仅使用 5% BoT-IoT 数据集的基准模型不同，该研究使用了 25% 的数据集来构建强大的教师模型。学生模型在测试中达到了 99.60% 的准确率和 99.80% 的 F1 分数。此外，集成了可解释人工智能（LIME）来增强模型决策的透明性。DiRLU 仅需 2370 FLOPS，比现有最佳模型高效约 3.87 倍，非常适合边缘部署。该框架将效率与隐私保护相结合，符合 GDPR 的“被遗忘权”要求，为物联网安全提供了一种实用且可扩展的解决方案。

本文提出了 Crossroads，一个用于链抽象资产的智能合约层。在 Crossroads 中，来自几乎所有链的资产都在单个后端区块链上以 ERC-20 代币的形式表示。因此，任何资产都可以在单一统一平台上参与基于智能合约的交换、借贷或隐私应用。虽然 Crossroads 提供了跨链桥接功能，这是当前缓解区块链生态系统碎片化的一种常见部分方法，但这只是 Crossroads 通用链抽象模型中的一项服务。Crossroads 依赖于密钥加密：一个门限签名委员会持有加密密钥，控制着每个集成链上的资产，仅在后端区块链上的智能合约授权时才签署交易。资产移动具有费用效率，因为所有权变更记录在后端区块链上，用户可以为提款设置交易费用。Crossroads 使用可插拔的预言机（zkBridge、基于 TEE 的、混合的）实现了新区块链的无许可、模块化集成，并具有灵活的设计选项。存入 Crossroads 的资产受益于强大的、特定链的最终性保证，最大限度地降低了重组攻击的风险。然而，与现有桥接器不同，Crossroads 中的第三方智能合约可以在最终性完成之前提供快速的乐观资产访问。作者证明了 Crossroads 满足可靠性：给定一个诚实的签名委员会成员法定人数，任何用户都可以单方面生成一笔提款交易，将其净余额转移到集成链上的一个账户。作者在多个公共区块链（比特币、以太坊和 Solana）上实现了概念验证。他们还列举了 Crossroads 支持的一系列应用，包括通用钱包、跨链质押和借贷、隐私保护支付以及公共区块链资产的私有管理。

该论文研究了纠错码中的邻近间隙（proximity gaps）性质，该性质在交互式预言证明（IOP）和简洁非交互式零知识论证（SNARKs）中具有重要应用。此前Goyal和Guruswami的工作已经为子空间设计码以及随机线性码、随机求值点的Reed-Solomon码、Gallager的LDPC码等随机码族建立了接近最优的邻近间隙，但随机码族的结果参数劣于子空间设计码，且随着度数ell的增加而退化。本文通过扩展Levi、Mosheiff、Shagrithaya以及Brakensiek、Chen、Dhar、Zhang等人发展的局部坐标线性（LCL）性质框架到“行跨度约束”版本，将曲线可解码性（curve-decodability）——一种蕴含邻近间隙的性质——直接建模为行跨度约束的LCL性质，从而可以应用该框架。相比之下，由于曲线可解码性本身不是普通的LCL性质，先前的工作只能使用代理性质，导致参数损失。本文的核心贡献是：1）获得了随机码族的改进邻近间隙，定量上匹配子空间设计码的结果；2）开发了黑盒转移方法，使得子空间设计码的任何进展都能自动转化为随机码族的相应进展；3）扩展了LCL框架，使其能处理更广泛的问题。该工作主要面向编码理论、密码学与计算复杂度的研究者，特别是关注IOP/SNARK效率的理论安全人员。

本文提出了嵌入式区块链基础设施管理（eBIM）概念，这是一个基于RISC-V指令集架构的软硬件协同设计框架，旨在解决当前区块链系统从数字资产账本向通用信任基础设施转型过程中面临的关键挑战。文章首先指出区块链即服务（BaaS）模式的根本性缺陷：将基础设施控制权外包给第三方服务商导致信任、灵活性和数据主权的系统性丧失。RISC-V凭借其开放、模块化和可扩展的特性，为公有链提供了开放、底层、可编译、可验证且可扩展的计算基础。受eSIM（嵌入式SIM）发展启发，eBIM被定义为一种面向区块链基础设施管理的软硬件协作范式。本文作为一篇综述性论文，系统回答了三个研究问题：eBIM是什么、如何工作以及能做什么。文中全面梳理了支撑eBIM的关键技术，包括密码学加速、可信执行环境（TEE）、零知识虚拟机（zkVM）和智能合约执行引擎。作者指出eBIM为研究人员、硬件架构师和协议设计者提供了基础参考，并展望了未来研究方向，例如在去中心化物理基础设施网络（DePIN）、可验证计算和自动化基础设施管理中的应用前景。本文的核心贡献在于首次系统定义了eBIM框架，打通了RISC-V硬件开放性与区块链信任需求之间的桥梁，为构建端到端可信的区块链基础设施提供了新思路。

该论文系统评估了在差分隐私（DP）约束下，对合成表格数据应用公平性干预的效果。研究背景是：机器学习模型在高风险领域部署时，隐私和公平性均受关注；DP虽然是隐私保护的金标准，但可能放大群体间的不公平，且现有公平性干预在DP下是否有效尚不清楚。核心方法：采用最先进的基于边际的DP合成器AIM生成合成数据，在四个数据集上，结合多种群体公平性指标（如demographic parity、equal opportunity等），系统评估了三类干预策略（预处理、处理中、后处理）在广泛隐私预算（epsilon从0.1到10）下的表现。实验设计了四种管道：（1）原始数据训练（基线）；（2）仅DP合成数据训练；（3）仅对原始数据应用公平机制；（4）DP合成数据+公平机制。主要贡献：（1）首次系统评估DP合成数据下的公平性干预；（2）发现DP单独使用时会损害效用和公平性，但公平性干预可以部分恢复；（3）后处理干预方法在不同隐私预算和合成器下提供更稳定的公平-效用权衡，能在保持竞争性效用的同时显著提升公平性；（4）开源所有代码、数据和实验工件，确保可重复性。本研究适合数据隐私、公平性机器学习领域的研究人员，以及关注隐私与公平冲突的从业者。

本文提出FDIFormer，一种无需特征工程的虚假数据注入攻击检测框架，专门针对基于IEC 61850 GOOSE协议的智能电网通信。研究背景：智能电网通过通信网络和智能电子设备实现自动化运行，但互联性增加使其易受网络攻击，其中虚假数据注入（FDI）攻击通过删除、修改或添加数据包操纵通信消息，尤其在IEC 61850变电站中，GOOSE消息负责传输关键保护和控制信息。由于恶意数据包与合法通信高度相似，现有检测方法严重依赖手动设计的协议特征，需要大量领域知识且泛化能力有限。核心方法：FDIFormer将GOOSE数据包序列转换为结构化文本窗口，捕获通信行为，然后利用预训练Transformer模型（如GraphCodeBERT、BERT和RoBERTa）直接学习攻击相关模式。评估使用QUT-ZSS-2023-GOOSE数据集，采用场景级三折交叉验证。结果：GraphCodeBERT达到0.595±0.122的MCC，与最强手工特征基线XGBoost（0.604±0.121）相当，比TF-IDF基线提高0.133。主要贡献：首次证明预训练Transformer表示可有效用于IEC 61850 GOOSE通信中的FDI攻击检测，无需依赖人工特征工程，为工业控制系统安全提供了新思路。适合安全研究人员、智能电网安全工程师和机器学习从业者阅读。

Pipecat is an open-source Python framework for building real-time voice and multimodal conversational agents. Prior to 1.4.0, the pipecat development runner registers a /ws WebSocket endpoint for telephony testing that accepts connections without authentication, reads an attacker-supplied callSid from a Twilio stream-start handshake in src/pipecat/runner/utils.py, and passes it to TwilioFrameSeria

Kirby is an open-source content management system. Prior to 4.9.4 and 5.4.4, Kirby sites using the writer field in any blueprint allowed a scripting link to be included as the target of a link or email link in writer mark components, making the target clickable by the user who entered it and enabling self cross-site scripting in the Panel. This issue is fixed in versions 4.9.4 and 5.4.4.

Kirby is an open-source content management system. Prior to 4.9.4 and 5.4.4, Kirby sites where a role has the pages.access permission disabled allowed authenticated users who know or guess page IDs or UUIDs to retrieve page information, including full content and metadata, for arbitrary published pages through the /api/site/find route without authorization to access those pages. This issue is fixe

Kirby is an open-source content management system. Prior to 4.9.4 and 5.4.4, Kirby sites and plugins using the Kirby Http Remote class, including Remote::request(), Remote::get(), and Remote::post(), to send outgoing HTTP requests with untrusted data in the headers option could allow newline characters in a header value to inject a separate unintended request header to the remote service. This iss

Kirby is an open-source content management system. Prior to 4.9.4 and 5.4.4, Kirby sites with content.fileRedirects enabled could redirect unauthenticated clean file URL requests for files stored in top-level draft pages to physical media URLs without checking page access permissions or preview tokens, leading to disclosure of draft file contents. This issue is fixed in versions 4.9.4 and 5.4.4.

Kirby is an open-source content management system. Prior to 4.9.4 and 5.4.4, Kirby sites using the pages field with roles that have the pages.access permission disabled allowed authenticated users to provide an inaccessible parent page or site to the page picker backend and confirm arbitrary page existence and retrieve title field values. This issue is fixed in versions 4.9.4 and 5.4.4.

Kirby is an open-source content management system. Prior to 4.9.4 and from 5.4.4, Kirby sites with no configured user accounts that run on publicly accessible servers behind a reverse proxy setting the Forwarded, X-Client-IP, or X-Real-IP request header could allow remote attackers to install the Panel and create the first admin user because local-IP checks trusted those headers incorrectly. This

Kirby is an open-source content management system. Prior to 4.9.4 and 5.4.4, Kirby sites and plugins that use the writer or list fields or call Dom::sanitize(), Sane::sanitize(), Sane::Html::sanitize(), Sane::Svg::sanitize(), Sane::Xml::sanitize(), Sane::sanitizeFile(), or file sanitizeContents() with untrusted input allow malicious markup injected as children of an unknown HTML or XML tag to pass

The UsersWP plugin for WordPress is vulnerable to Arbitrary File Deletion in versions up to, and including, 1.2.65. This is due to insufficient validation of file-field values in the UsersWP_Validation::validate_fields() function (which falls through to sanitize_text_field() for fields of type 'file', leaving directory-traversal sequences intact) combined with the UsersWP_Forms::upload_file_remove

Mockoon provides way to design and run mock APIs. Prior to 9.7.0, a FILE response whose filePath embeds request data is confined by getSafeFilePath in packages/commons-server/src/libs/server/server.ts with resolvedPath.startsWith(staticBaseDir). That prefix test has no path-separator boundary, so a ../-escaped path whose absolute form string-prefixes the base directory passes, allowing an unauthen

Mockoon provides way to design and run mock APIs. Prior to 9.7.0, Mockoon's admin API in commons-server/src/libs/server/admin-api.ts is mounted on the same Express listener as user-defined mock routes, enabled by default in shipped runtimes, serves Access-Control-Allow-Origin: * with write methods allowed, and has no authentication. Any unauthenticated caller who can reach the mock server port can

Ghost is a Node.js content management system. From 6.27.0 before 6.44.0, Ghost's public donation checkout flow allowed an unauthenticated attacker to control donation checkout metadata and obtain full paid gift memberships for a minimal payment without exposing customer or member data or stealing money from a site or its members. This issue is fixed in version 6.44.0.

Ruflo is an agent meta-harness for Claude Code and Codex. Prior to 3.16.3, ruflo's default docker-compose deployment exposed the MCP bridge POST /mcp and POST /mcp/:group endpoints without authentication, allowing an unauthenticated network attacker to invoke tools/call to terminal_execute, obtain a shell in the bridge container, read provider API keys, and poison AgentDB learning-store patterns.

Hoppscotch is an open source API development ecosystem. Prior to 2026.6.0, mock server creation in mock-server.service.ts does not persist the isPublic input field while schema.prisma defaults isPublic to true, causing mock servers linked to private collections to be publicly accessible without authentication and potentially expose sensitive API data. This issue is fixed in version 2026.6.0.

Hoppscotch is an open source API development ecosystem. Prior to 2026.6.0, the updateInfraConfigs GraphQL mutation in admin/infra.resolver.ts accepts an attacker-controlled MAILER_SMTP_URL value, and validateSMTPUrl in utils.ts permits path, query, or fragment content that nodemailer parses into sendmail transport options, allowing an admin to execute arbitrary commands as root in the backend cont

Open WebUI is an extensible, feature-rich, and user-friendly self-hosted AI platform. Prior to 0.10.0, WEB_FETCH_FILTER_LIST matching compared configured host entries against URL strings and non-label-boundary suffixes, allowing path-based blocklist bypasses such as !internal.example.com in a URL path and sibling-domain matches that did not reflect the intended hostname policy. This issue is fixed

Open WebUI is an extensible, feature-rich, and user-friendly self-hosted AI platform. From 0.7.0 before 0.10.0, GET /api/v1/channels//members returned full UserModelResponse objects for channel members, including settings.ui.toolServers[].key and webhook configuration, allowing a normal channel participant to retrieve other users’ sensitive settings. This issue is fixed in version 0.10.0.

Open WebUI is an extensible, feature-rich, and user-friendly self-hosted AI platform. Prior to 0.10.0, get_event_call delivered execute:python and execute:tool Socket.IO events to a client-supplied session_id after checking only that the session was connected, allowing authenticated users who learned another socket ID through ydoc:document:join to run code interpreter Python or tools in that user

Open WebUI is an extensible, feature-rich, and user-friendly self-hosted AI platform. From 0.9.0 before 0.10.0 with Redis configured, Socket.IO connect, user-join, join-channels, join-note, and the terminal websocket first-message authentication used decode_token without the Redis-backed is_valid_token revocation check, allowing revoked JWTs to continue authenticating realtime connections. This is

gpsd through release-3.27.5, fixed at commit 4c06658, contains a command injection vulnerability in gpsprof that allows attackers who control the GPS device subtype value to execute arbitrary shell commands by embedding backtick payloads in the gnuplot plot title without proper escaping. The subtype field sourced from a DEVICES JSON log entry or NMEA PGRMT sentence is written into a generated gnup

Open WebUI is an extensible, feature-rich, and user-friendly self-hosted AI platform. From 0.9.2 before 0.10.0, the SKILL_MENTION_RE and strip_re regular expressions in backend/open_webui/utils/middleware.py parsed skill mentions with overlapping quantifiers, allowing an authenticated chat message containing to trigger quadratic backtracking and block the asyncio event loop. This issue is fixed

Phalcon is a high-performance, full-stack PHP framework. Prior to 5.15.0, every Phalcon MVC application built with a default router registers a built-in route whose compiled PCRE pattern contains the nested quantifier (/.), and the same construct is produced by the /:params placeholder and the CLI router. Phalcon\Mvc\Router::handle() matches this pattern against the attacker-controlled request URI

Tilt defines dev environments as code for microservice apps on Kubernetes. From 0.20.8 through 0.37.3, the Tilt HUD HTTP server registers handlers on a gorilla/mux router with no authenticating middleware. When the HUD is bound to a non-loopback address, an unauthenticated network caller can trigger developer-defined resources, tamper with Tiltfile arguments, read full engine state including the s

ModSecurity is an open source, cross platform web application firewall (WAF) engine for Apache, IIS and Nginx. From 3.0.0 through 3.0.15, the t:utf8toUnicode transformation in src/actions/transformations/utf8_to_unicode.cc produces wrong output on i386 architecture because snprintf uses sizeof on a char pointer rather than the length of the unicode buffer, allowing rules that use this transformati

ModSecurity is an open source, cross platform web application firewall (WAF) engine for Apache, IIS and Nginx. Prior to 3.0.16, the multipart/form-data request body parser in libmodsecurity silently removes embedded line breaks from non-file form-field values before exporting them to ARGS and ARGS_POST because src/request_body_processor/multipart.cc overwrites reserved bytes in m_reserve instead o

RabbitMQ is a messaging and streaming broker. Prior to 3.13.15, 4.0.20, 4.1.11, and 4.2.6, RabbitMQ does not perform authorization checks on passive queue.declare and exchange.declare AMQP 0-9-1 operations, allowing any authenticated user who can connect to a virtual host to enumerate queue and exchange names and read queue message and consumer counts. This issue is fixed in versions 3.13.15, 4.0.

RabbitMQ is a messaging and streaming broker. Prior to 4.2.5, the RabbitMQ management UI renders the x-internal-purpose queue or exchange argument into an HTML title attribute without proper escaping on the Queues and Exchanges pages, allowing a user with permission to declare a queue or exchange to execute JavaScript in another user's browser. This issue is fixed in version 4.2.5.

Deloitte AI Assist for Customer exposed unauthenticated API endpoints that allowed an attacker with knowledge of additional parameters to read from or inject content into the retrieval-augmented generation (RAG) corpus. On 2026-03-25, AI Assist for Customer restricted network access and enforced authentication for the previously exposed endpoints.

ZITADEL is an open source identity management platform. Prior to 4.15.3, ZITADEL's OAuth2 Token Exchange endpoint for urn:ietf:params:oauth:grant-type:token-exchange does not verify that the subject token belongs to the requesting client or that requested scopes remain within the original token's scopes, allowing a low-privilege token to be exchanged for elevated permissions at another application

ZITADEL is an open source identity management platform. Prior to 4.15.3, ZITADEL Login V2 OIDC and SAML FailedPrecondition error paths return loginSettings.defaultRedirectUri to router.push without applying the isSafeRedirectUri check, allowing an organization or instance administrator to store a javascript or data URI that can execute in a user's browser when an affected login error path is reach

ZITADEL is an open source identity management platform. Prior to 3.4.12 and 4.15.2, ZITADEL's OAuth2 and OIDC CodeExchange, RefreshToken, and device token flows fail to verify that the requesting client matches the client that initiated the authorization flow, allowing intercepted grants or refresh tokens to be exchanged under a different client. This issue is fixed in versions 3.4.12 and 4.15.2.

Wekan is open source kanban built with Meteor. Prior to 9.64, Wekan has a cross-board authorization bypass in the direct Meteor collection allow rules for Checklists and ChecklistItems because updates are authorized only against the current source doc.cardId and do not inspect the destination cardId or boardId in the update modifier, allowing a low-privileged authenticated user with write access t

9Router is an AI router & token saver. Prior to 0.5.2, 9router treats loopback requests as trusted and allows /v1/* access without an API key, so a same-host reverse proxy that forwards public traffic to the backend through 127.0.0.1 causes src/dashboardGuard.js to misclassify external requests as local. A remote unauthenticated attacker can access /v1 APIs such as /v1/models and may abuse configu

9Router is an AI router & token saver. Prior to 0.5.2, 9router determines whether a /v1 LLM proxy request is local by reading the client-controlled Host header, allowing a remote unauthenticated attacker to send Host: localhost and bypass API-key authentication. In the default configuration, this exposes the /v1 proxy to upstream provider calls using stored provider credentials and allows /v1/sear

9Router is an AI router & token saver. Prior to 0.5.2, 9router protects /v1, /v1beta, /api/v1, and /api/v1beta in src/dashboardGuard.js but omits /codex before next.config.mjs rewrites /codex/* to /api/v1/responses. A remote unauthenticated attacker can send requests to /codex/* to bypass the API-key gate and cause the server to make upstream provider calls using operator-stored LLM provider crede

9Router is an AI router & token saver. Prior to 0.5.2, 9router validates image URLs by resolving the host before fetching, but open-sse/translator/concerns/image.js performs the later server-side image fetch with a separate DNS resolution. An authenticated attacker with access to the LLM proxy can use a vision-capable model and an attacker-controlled DNS name that first resolves to a public IP and

9Router is an AI router & token saver. Prior to 0.4.80, the dashboard login rate limiter in src/lib/auth/loginLimiter.js derives the client identity from the attacker-controlled X-Forwarded-For HTTP header, and src/app/api/auth/login/route.js uses that spoofable value for checkLock and recordFail. A remote attacker can rotate the X-Forwarded-For value on each login attempt to receive a fresh rate-

PraisonAI Platform (praisonai-platform) before 0.1.9 improperly authorizes deletion of issue dependencies. The DELETE dependency route accepts either endpoint of a dependency edge and checks delete permission only against the caller-selected URL issue. A workspace member who cannot delete a dependency through an owner-created issue endpoint (which returns 403) can delete the same dependency edge b

The KiviCare – Clinic & Patient Management System (EHR) plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 4.4.0. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to mark arbitrary pending appointments as Confirmed and forge an associated completed paym

The BetterDocs – AI Documentation, Knowledge Base, Docs, Wikis, FAQ with Chatbot plugin for WordPress is vulnerable to generic SQL Injection via the 'lang' parameter in all versions up to, and including, 4.6.0 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with custom-leve

A vulnerability was identified in NousResearch hermes-agent up to 2026.5.29.2. Affected by this issue is the function MatrixAdapter._markdown_to_html of the file gateway/platforms/matrix.py of the component Matrix Adapter. Such manipulation leads to cross site scripting. The attack can be executed remotely. The exploit is publicly available and might be used. The pull request to fix this issue awa

SiYuan is an open-source personal knowledge management system. Prior to 3.7.1, Asset.render in app/src/asset/index.ts interpolates the unsanitized this.path value into HTML assigned to innerHTML, allowing a crafted asset link containing a double quote to break out of the src attribute, inject an event handler, and execute JavaScript that can run OS commands in the Electron renderer. This issue is

SiYuan is an open-source personal knowledge management system. Prior to 3.7.1, POST /api/file/globalCopyFiles accepts attacker-supplied absolute source paths and relies on util.IsSensitivePath in kernel/util/path.go, whose denylist misses common home-directory credential files such as .git-credentials, .netrc, .pgpass, .kube/config, .docker/config.json, and .gnupg, allowing an authenticated admini

SiYuan is an open-source personal knowledge management system. Prior to 3.7.1, the /api/storage/getCriteria endpoint returns saved search criteria from data/storage/criteria.json without the publish-access filtering used by sibling storage endpoints, allowing a publish-mode Reader to read private document paths, notebook, document, and block IDs, and search and replace keywords for unpublished doc

SiYuan is an open-source personal knowledge management system. Prior to 3.7.1, the block search endpoint POST /api/search/fullTextSearchBlock concatenates attacker-controlled paths values into SQL predicates used by non-SQL search modes, allowing an unauthenticated publish visitor to inject a UNION SELECT and return rows from hidden documents by projecting an allowed visible box and path. This iss

SiYuan is an open-source personal knowledge management system. Prior to 3.7.1, SiYuan renders note and package content to HTML through the Lute engine with sanitization enabled, but Lute's dangerous javascript scheme block does not check form action or SVG xlink:href attributes, allowing stored cross-site scripting in document export-preview and Bazaar package README render paths that can execute

SiYuan is an open-source personal knowledge management system. Prior to 3.7.1, the /snippets/*filepath route handler serveSnippets in kernel/server/serve.go joins a single-decoded request path with the snippets directory without subpath containment or sensitive-path checks, allowing an authenticated request such as /snippets/%2e%2e/%2e%2e/conf/conf.json to read workspace secrets and the document d

New API is a large language mode (LLM) gateway and artificial intelligence (AI) asset management system. Prior to 0.12.0-alpha.1, the email and WeChat account binding endpoints GET /api/oauth/email/bind and GET /api/oauth/wechat/bind used GET requests for state-changing account operations, allowing an attacker to trigger a logged-in user's browser to bind an attacker-controlled email address or OA

New API is a large language mode (LLM) gateway and artificial intelligence (AI) asset management system. Prior to 0.12.0-alpha.1, the default SSRF protection configuration did not apply IP filtering to hostnames; with ApplyIPFilterForDomain disabled by default, URL validation checked domain allow/block rules but did not resolve a hostname and validate the resolved IP address, allowing authenticate

An Improper Check for Unusual or Exceptional Conditions vulnerability in the packet forwarding engine (PFE) of Juniper Networks Junos OS on MX Series allows adjacent subscribers to bypass configured firewall filters. On MX Series devices with MPC10/11, LC4800/9600, and MX304 with subscribers configured on static interfaces, ingress firewall filters are not enforced, so that neither protocol level

A Use of Multiple Resources with Duplicate Identifier vulnerability in the IKE daemon (iked) of Juniper Networks Junos OS on MX with SPC3 and SRX Series allows an unauthenticated, network-based attacker to cause a Denial-of-Service (DoS). On an MX with SPC3 and SRX devices configured for VPN service, when a large number of VPN negotiations fail a peer index rollover will eventually occur. As a

An Out-of-bounds Write vulnerability in the http-gatekeeper (http-gk) of Juniper Networks Junos OS on SRX Series allows an unauthenticated, network-based attacker to cause a Denial-of-Service (DoS). If an SRX Series device is configured for remote-access VPN with pre-logon compliance check, a network-based attacker sending specifically formatted requests can trigger an out of bounds write leading

An Improper Check for Unusual or Exceptional Conditions vulnerability in the packet forwarding engine (pfe) of Juniper Networks Junos OS on QFX10000 Series allows an unauthenticated, adjacent attacker to cause a Denial-of-Service (DoS). On all QFX10000 platforms in an EVPN-VxLAN scenario, if an attacker sends IPv6 multicast traffic and these packets reach the non-IRB interface of a spine switch i