SAP warns of critical flaws in NetWeaver and Commerce Cloud
2026年7月14日，SAP发布了月度安全更新，共修复了16个漏洞，涉及NetWeaver、Commerce Cloud、AppRouter等多个产品。其中3个被标记为严重（Critical），可能导致远程未授权代码执行。NetWeaver
2026-07-15 归档
今日共收录 995 条安全情报，包含 81 个 CVE，528 篇安全通告，以及 87 篇研究论文。
← 返回归档列表HedgeDoc: Rate-limit bypass via CF-Connecting-IP header spoofing
CVE-2026-58488
HedgeDoc is an open source, real-time, collaborative, markdown notes application. Versions prior to 1.11.0 allowed attac
n8n-MCP: Incorrect authorization can expose default-scope workflow version backups in multi-tenant HTTP mode
CVE-2026-55608
## Summary In multi-tenant HTTP mode (`ENABLE_MULTI_TENANT=true`), an authenticated tenant could, under certain conditi
nebula-mesh: Unauthenticated OIDC login endpoint allocates unbounded in-memory state entries without rate limiting
CVE-2026-55512
### Summary When OIDC is enabled, `GET /ui/oidc/login` is reachable without authentication and is registered outside the
Anyquery: Server-Side Request Forgery (SSRF) via Unrestricted SQLite Virtual Table Modules in Server Mode
CVE-2026-54628
## Summary Anyquery's `server` mode does not restrict outbound HTTP requests initiated by its built-in SQLite virtual ta
Ivanti Endpoint Manager Mobile代码注入漏洞
Ivanti Endpoint Manager Mobile代码注入漏洞
SSL-VPN Reflected XSS
CVSSv3 Score: 6.1 An Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vuln
9Router through version 0.4.41 contains an unauthenticated information disclosure vulnerability that allows remote attackers to retrieve plaintext API keys for all connected AI ...
CVE-2026-62327
9Router 0.4.41及之前版本存在一个未认证信息泄露漏洞（CVE-2026-62327）。该漏洞源于Next.js API路由缺少认证中间件，攻击者无需任何凭证即可向 /api/usage/stats 端点发送单个HTTP请求，从而
US sanctions VPN, malware providers for enabling ransomware attacks
美国财政部外国资产控制办公室（OFAC）于2026年7月14日宣布对两名个人和一个实体实施制裁，指控他们为针对美国组织的勒索软件攻击提供便利。具体而言，受制裁的个人和实体涉嫌运营用于匿名化恶意流量的VPN服务以及分发恶意软件，从而帮助勒索软
U.S. Sanctions First VPN Service and Malware Cryptor Seller Over Ransomware Support
2026年7月14日，美国财政部外国资产控制办公室（OFAC）宣布对两名个人和一家名为First VPN Service（1VPNS）的VPN服务提供商实施制裁。这是美国首次针对直接支持勒索软件攻击的VPN服务采取此类行动。1VPNS被指控
ProjectSend认证绕过漏洞(CVE-2024-11680)
CVE-2024-11680
ProjectSend认证绕过漏洞(CVE-2024-11680)
Linux 内核提权 CVE-2026-31431(copy-fail)
CVE-2026-31431
Linux 内核提权 CVE-2026-31431(copy-fail)
Keep Your Friends Close, but Your Routeservers Closer: Insights into RPKI Validation in the Internet.
该论文系统评估了互联网路由安全中RPKI（资源公钥基础设施）部署的实际效果。IP前缀劫持攻击可让攻击者重定向和拦截流量，威胁互联网稳定与安全。业界常用RPKI来验证BGP路由，过滤无效的BGP公告。研究者扩展了先前数据采集与分析方法，更精确
TrafficFormer: An Efficient Pre-trained Model for Traffic Data.
本文提出了一种面向网络流量的高效预训练模型 TrafficFormer，旨在解决流量数据标注困难、标签数据不足导致传统监督学习方法性能不佳的问题。在预训练阶段，TrafficFormer 设计了一个细粒度的多分类任务，通过预测流量报文中多个
ZHE: Efficient Zero-Knowledge Proofs for HE Evaluations.
同态加密（HE）允许在不解密的情况下对加密数据进行计算，广泛应用于隐私保护场景。然而，HE的安全性通常假设服务器是“诚实但好奇”的，即服务器会忠实执行计算。若服务器是恶意的，则无法保证计算结果的正确性。可验证HE（vHE）旨在检测恶意行为，
An Attack-Agnostic Defense Framework Against Manipulation Attacks Under Local Differential Privacy.
本地差分隐私（LDP）协议容易受到操纵攻击，攻击者通过篡改本地数据或随机性来破坏统计估计的准确性。现有早期工作通过将每个样本转化为二元信号来限制攻击者能力，但这种方法在ε>1时导致严重的信息损失，牺牲了数据效用。本文提出了一种攻击无关的通用
CrowdStrike and Zscaler Bring Continuous Identity to Zero Trust Access
CrowdStrike and Zscaler Bring Continuous Identity to Zero Trust Access
CrowdStrike Announces Continuous Identity for AI Agents
CrowdStrike Announces Continuous Identity for AI Agents
Citrix NetScaler 内存泄漏(CVE-2025-5777)
CVE-2025-5777
Citrix NetScaler 内存泄漏(CVE-2025-5777)
Bulkhead: Automated Semantic Detection and Remediation of Container Escape Vulnerabilities
容器生态系统中的文件系统隔离常因跨边界路径解析错误而弱化，导致路径遍历漏洞。这些漏洞源于不安全的宿主机-容器交互，在云系统挂载共享资源（如GPU、智能体工作区）以支持AI负载时愈发普遍。现有防御不足：内核级保护具有侵入性，可能破坏系统调用稳