Unpacking the AsyncAPI npm supply chain compromise and import-time payload delivery
Threat actors compromised AsyncAPI packages and weaponized trusted CI/CD workflows to distribute malware through npm. Th
2026-07-16 归档
今日共收录 1958 条安全情报，包含 992 个 CVE，550 篇安全通告，以及 113 篇研究论文。
← 返回归档列表Turning threat intelligence into decisive action with Defender Experts
Security teams have never had more visibility, yet rarely have they felt more uncertain. Signal pours in from endpoints,
Understanding the Growth and Security Considerations of ECS.
该论文研究了ECS（Elastic Container Service）的快速增长趋势及其伴随的安全考量。作者通过分析大规模数据，揭示了ECS使用量的激增模式，并识别了常见的配置错误、访问控制漏洞以及镜像安全问题。论文提出了一套评估框架，用
Scanned and Scammed: Insecurity by ObsQRity? Measuring User Susceptibility and Awareness of QR Code-Based Attacks.
该论文研究了用户对基于QR码的攻击（Quishing）的易感性和意识。随着QR码在日常生活中的普及（如支付、登录、信息获取），攻击者开始利用QR码将用户重定向到恶意网站或触发恶意操作。然而，用户对此类威胁的认知和防御能力尚不明确。研究通过在
Invisible but Detected: Physical Adversarial Shadow Attack and Defense on LiDAR Object Detection.
该论文研究了针对自动驾驶中LiDAR（激光雷达）目标检测的物理对抗性攻击与防御方法。作者提出了一种新型的物理对抗性攻击——影子攻击（Shadow Attack），通过在目标物体附近投射精心设计的阴影图案，使得LiDAR点云数据产生偏差，从而
How Transparent is Usable Privacy and Security Research? A Meta-Study on Current Research Transparency Practices.
该论文对2018至2023年间发表的200篇可用隐私与安全（UPS）领域的出版物进行了元研究，这些出版物来自USENIX Security、IEEE S&P、CCS、SOUPS、CHI等12个会议或期刊。同时，作者还分析了这些会议/期刊的8
C2SR: Cybercrime Scene Reconstruction for Post-mortem Forensic Analysis.
该论文提出了一种名为 C2SR（Cybercrime Scene Reconstruction，网络犯罪现场重建）的框架，用于事后取证分析。传统取证方法通常依赖静态证据（如日志、文件快照），难以全面重构攻击者的行动路径和系统性影响。C2SR
OblivSketch: Oblivious Network Measurement as a Cloud Service.
网络功能虚拟化（NFV）使得以低成本将多种网络功能作为云服务提供成为可能，其中网络测量任务（如重流检测和流量分布估计）是许多核心网络功能的基础，能够提升企业网络的性能与安全性。然而，将网络测量服务部署在第三方多租户云服务提供商中引发了严重的
Mondrian: Comprehensive Inter-domain Network Zoning Architecture.
本文提出 Mondrian，一种全面的跨域网络分区架构，旨在解决现代网络（如数据中心、企业网络和多租户云环境）中网络分段与安全策略管理的复杂性。现有解决方案（如 VLAN、ACL、SDN 微分段）在可扩展性、动态性和跨域一致性方面存在局限。
Does Every Second Count? Time-based Evolution of Malware Behavior in Sandboxes.
本文针对恶意软件分析沙箱中执行时间参数的选择问题展开研究。沙箱执行时间过长会降低可扩展性，过短则可能导致恶意行为未被完全触发，影响数据收集的质量。然而，目前缺乏关于如何选择最优执行时间的明确指南。为了填补这一空白，作者首次开展了大规模研究，
Cross-silo Federated Learning with Record-level Personalized Differential Privacy.
该论文研究了跨孤岛联邦学习（FL）中的记录级个性化差分隐私（DP）问题。现有方法通常假设所有记录具有统一的隐私预算，提供“一刀切”的解决方案，无法满足每条记录特定的隐私需求。作者提出了一个名为rPDP-FL的新型框架，采用两阶段混合采样方案
"That's my perspective from 30 years of doing this": An Interview Study on Practices, Experiences, and Challenges of Updating Cryptographic Code.
该论文基于对30名具有加密代码更新经验的开发者和安全专家的半结构化访谈，系统研究了在实践中更新加密代码（如替换旧加密算法、升级库版本、迁移到新标准）时的实际做法、经验教训和面临的挑战。研究发现，开发者普遍依赖经验法则和社区最佳实践，缺乏系统
无人机开源飞控 PX4-Autopilot堆栈溢出漏洞 CVE-2025-15150
CVE-2025-15150
无人机开源飞控 PX4-Autopilot堆栈溢出漏洞 CVE-2025-15150
MongoDB内存泄漏 CVE-2025-14847(MongoBleed)
CVE-2025-14847
MongoDB内存泄漏 CVE-2025-14847(MongoBleed)
1Panel 代理证书验证绕过导致任意命令执行漏洞(CVE-2025-54424)
CVE-2025-54424
1Panel 代理证书验证绕过导致任意命令执行漏洞(CVE-2025-54424)
ModelContext Inspector 未授权访问漏洞(CVE-2025-49596)
CVE-2025-49596
ModelContext Inspector 未授权访问漏洞(CVE-2025-49596)
llamaindex SQL 注入漏洞(CVE-2025-1750)
CVE-2025-1750
llamaindex SQL 注入漏洞(CVE-2025-1750)
Screen 本地权限提升漏洞(CVE-2025-23395)
CVE-2025-23395
Screen 本地权限提升漏洞(CVE-2025-23395)
Zabbix认证后SQL注入漏洞(CVE-2024-42327)
CVE-2024-42327
Zabbix认证后SQL注入漏洞(CVE-2024-42327)
ProjectSend认证绕过漏洞(CVE-2024-11680)
CVE-2024-11680
ProjectSend认证绕过漏洞(CVE-2024-11680)