WireGuard Easy through 15.3.0, fixed in commit 66b292b, contains a cryptographically weak one-time link token generation vulnerability that allows unauthenticated network attackers to recover WireGuard peer credentials by brute-forcing a keyspace of at most 1000 candidate tokens per client ID, as the token is computed using CRC32 over a random value constrained to 0-999. Attackers can enumerate ca

### Impact The `to_absolute_normalized_path` function (security.lua:28-43) does not collapse redundant path separators (// → /). On Linux, `//etc/passwd` is equivalent to `/etc/passwd` (POSIX path semantics), but `is_critical_path` fails to match the double-slash variant because `//etc/passwd` does not start with `/etc/`. This allows Lua code submitted as an `EnvoyExtensionPolicy` to read arbitr

Squid is a caching proxy for the Web. Prior to 7.6, due to an improper validation of syntactic correctness of input in the FTP gateway (src/clients/FtpGateway.cc), Squid is vulnerable to an out-of-bounds read: when a listing entry date in the TypeA or TypeB directory-listing formats is not followed by a filename, parsing was not restricted to the input buffer, so a trusted client accessing a misbe

text-generation-inference through 3.3.7 contains a server-side request forgery (SSRF) vulnerability in the OpenAI-compatible multimodal chat completions endpoint that allows unauthenticated network attackers to coerce the server into issuing arbitrary HTTP GET requests by supplying a crafted image_url value in chat message content. The fetch_image function in router/src/validation.rs performs no v

Anubis is a Web AI Firewall Utility that challenges users' connections in order to protect upstream resources from scraper bots. From 1.22.0 until 1.26.0-pre1, lib/policy/checker.go PathChecker.Check() trusted the client-controlled X-Original-URI header before matching r.URL.Path, allowing an HTTP client to match default data/common/keep-internet-working.yaml ALLOW rules such as ^/\.well-known/.*$

Cilium is a networking, observability, and security solution. Prior to 1.17.17, 1.18.11, and 1.19.5, Cilium clusters using Gateway API allow users with permissions to create or update namespaced HTTPRoutes to mirror HTTP traffic to any Service in any namespace, bypassing the ReferenceGrant authorization mechanism. Gateway API functionality is disabled by default. This issue is fixed in versions 1.

CrowdStrike于2026年7月17日宣布推出“Continuous Identity for AI Agents”新功能。该功能旨在为AI代理提供持续的身份验证与访问控制，防止凭证滥用和身份劫持。尽管文章标签包含“apt”和“edr”，并提及恶意软件家族“Conti”，但正文未提供具体攻击案例或技术细节。目前无法确认Conti与AI代理的直接关联。该公告主要面向企业安全团队，强调在AI工作负载中实施零信任身份策略。由于缺乏详细技术内容，分析仅限于产品功能说明。

Ivanti Endpoint Manager Mobile代码注入漏洞

Huawei Secoway USG firewall weak password

Yokogawa YFGW410 gateway

OpenClaw before 2026.6.5 contain an authorization bypass vulnerability in node exec approvals that allows lower-trust callers to execute actions beyond their intended authorization by using different gateway and node environments. Attackers can exploit mismatched environment configurations to persist or execute actions that exceed the caller's approved permissions.

OpenClaw 2026.2.25 before 2026.5.26 allow a lower-trust caller or configured input path to bypass non-browser rate limits on WebSocket authentication attempts. When the affected feature is enabled and reachable by lower-trust input, this can consume gateway resources and reduce service availability.

OpenClaw versions before 2026.6.1 contain a denial of service vulnerability where remote media URLs can trigger slow-read attacks that exhaust gateway worker resources. Attackers with access to configured input paths can supply remote media URLs that consume gateway resources and reduce availability.

### Summary In affected versions, the SSE and Streamable HTTP server transports routed incoming requests to an existing session based only on the session identifier, without verifying that the request was authenticated as the same principal that created the session. Anyone who learned or guessed a session ID could send JSON-RPC messages on that session, regardless of which bearer token the request

### Impact When Envoy Gateway runs in GatewayNamespaceMode (`provider.kubernetes.deploy.type=GatewayNamespace`), the xDS gRPC server is configured with a `StreamInterceptor` for JWT authentication but no UnaryInterceptor. The go-control-plane xDS server exposes both streaming and unary (Fetch) RPC methods for all registered discovery services. Since there is no unary interceptor, these Fetch endpo

Vulnerability report without repro case. Repro case may be added later after harness is complete. **Preconditions (4):** - Pod-network reachability to :18002 (no auth) - Tenant can create EnvoyExtensionPolicy (baseline) - Attacker pod floods GET while churning EnvoyExtensionPolicy with distinct Wasm URLs - Read at :153 must overlap a write at :201/:209 (probabilistic, attacker controls both rates

Vulnerability report without repro case. Repro case may be added later after harness is complete. **Preconditions (4):** - Tenant can create EnvoyExtensionPolicy (baseline) - Controller has egress to attacker-controlled OCI registry - No registry allowlist (none exists in code) - Layer presents Docker/OCI media type **Description** At imagefetcher.go:287, make([]byte, h.Size) uses the attacker-

Vulnerability report without repro case. Repro case may be added later after harness is complete. **Preconditions (4):** - Tenant has SecurityPolicy + TCPRoute RBAC (baseline) - Tenant namespace permitted to attach TCPRoute to a Gateway listener - spec.authorization omitted (the trigger) - No admission webhook blocks the shape **Description:** A namespace-scoped tenant can deterministically pan

Vulnerability report without repro case. Repro case may be added later after harness is complete. **Preconditions (4):** - Tenant can create EnvoyExtensionPolicy (baseline) - Attacker hosts a gzip-bomb at a reachable URL - sha256 unset (optional field; check is post-decompression anyway) - No operator Wasm-URL allowlist (none exists in code) **Description** getFileFromGZ calls io.ReadAll on a r

### Impact Envoy Gateway accepts extension-managed custom backendRefs from an HTTPRoute to a backend resource in another namespace without requiring a matching Gateway API ReferenceGrant in the target namespace. This breaks the Gateway API cross-namespace consent model: the namespace that owns the referenced backend resource does not need to opt in with a ReferenceGrant before another namespace’s

随着互联网流量广泛加密以保护通信隐私，攻击者也常常滥用加密技术来隐藏恶意行为。由于加密后的恶意流量与正常流量的特征极其相似，传统的检测方法（如基于签名或监督学习）难以有效识别，尤其是面对未知攻击时，因为它们依赖于已知攻击的标签数据集。本文提出 HyperVision，一种基于实时无监督机器学习的加密恶意流量检测系统。核心创新在于构建一个紧凑的内存图（Flow Interaction Graph），该图通过捕获流之间的交互模式（而非特定攻击特征）来表示网络流量的结构特征。HyperVision 采用无监督图学习方法，通过分析图的连通性、稀疏性和统计特征来检测异常交互模式，从而无需任何已知攻击的标记数据即可识别各类加密攻击流量。此外，作者建立了信息论模型，证明该图所保留的信息接近理想的理论上限。实验使用了包含 48 种攻击的 92 个数据集，结果表明 HyperVision 的 AUC 不低于 0.92，F1 分数不低于 0.86，显著优于现有方法；值得注意的是，超过 50% 的攻击可以逃避所有对比方法。系统还实现了 80.6 Gb/s 的检测吞吐量和平均 0.83 秒的检测延迟，满足实时性要求。

2026年7月17日，CrowdStrike与Zscaler宣布合作，将持续身份安全（Continuous Identity Security）与零信任访问（Zero Trust Access）整合。该合作旨在通过结合CrowdStrike Falcon平台的身份威胁检测能力和Zscaler Zero Trust Exchange的访问控制能力，为企业提供实时身份验证与授权，减少身份相关攻击（如凭证盗窃、中间人攻击）的风险。合作方案允许安全团队根据用户行为风险动态调整访问权限，并利用CrowdStrike的威胁情报（包括对Conti等恶意软件的分析）增强Zscaler的策略决策。文章强调，通过持续身份验证和自适应策略，可有效防止横向移动和数据泄露。但原文并未提供具体攻击案例或技术细节，仅作为产品能力宣传。

Citrix NetScaler 内存泄漏(CVE-2025-5777)

容器逃逸漏洞（特别是路径遍历漏洞）在云原生环境中日益严重，尤其是当系统将GPU、代理工作区等共享资源挂载到容器中支持AI工作负载时。现有防御措施存在明显不足：内核级防护方案侵入性强、可能导致系统调用不稳定，且未被Linux主线接受；检测方法依赖静态规则匹配或人工代码审计，静态规则虽能标记路径相关函数却无法捕获是否存在主机-容器交互的语义，导致大量误报；人工审查需要领域专业知识，成本高、效率低且难以规模化。针对这一挑战，本文提出Bulkhead——一个集成大语言模型与形式化方法的自动化漏洞发现与修复框架。Bulkhead采用多智能体系统，通过从已知案例泛化的多维知识模式来识别和修复路径遍历漏洞。其流程为：首先应用高风险功能模式定位容器化代码中跨边界交互的入口点；然后使用调用链模式以适当深度恢复对应的执行路径；检测管道结合应用场景和威胁模型分析这些调用链，识别缺失安全检查、TOCTOU竞态等漏洞，并生成概念验证利用进行验证；最后，修补管道基于断言驱动验证（使用预定义模型检查模板）确保修复正确性。实验证明Bulkhead能有效发现真实容器环境中的路径遍历漏洞并自动生成补丁。

本文针对生产环境中的 LLM Agent（如 Claude Code 和 Codex）面临的自动红队测试问题展开研究。这类 Agent 处理不受信任的内容、文件、命令和工作区状态，直接导致安全风险的可行性，因此需要持续的红队测试来跟上模型和工具的发展。现有方法主要优化攻击成功率并保存测试产物（如基准测试、攻击载荷或攻击程序），但这些产物只能说明攻击成功的位置，而无法揭示不安全行为背后的使能条件。为此，作者提出了 AHA（Agent Hacks Agent）框架：一个可证伪的漏洞发现循环。具体而言，AHA 采用一个 agentic 研究环境（研究人员 agent）来自动发现关于另一个目标 agent 的可复用漏洞知识。该循环首先提出漏洞假设，然后构造一个证伪器（falsifier），进而实例化一个有效攻击，在沙箱环境中执行，从执行轨迹中进行反思，并将确认的发现提升为漏洞概念图（Vulnerability Concept Graph, VCG）。VCG 中的每个概念通过声明（claim）、使能条件（enabling condition）、证伪器、迁移预测（transfer prediction）和支撑证据，将攻击者面临的面（attacker-facing surface）与不安全轨迹关联起来。作者在三个场景（涵盖直接攻击和间接攻击）上对 Claude Code 和 Codex 进行了实验。结果表明，不同模型和 Agent 之间存在可复用的漏洞核心。固定一个 VCG 后，无需进一步搜索，在相同单次执行协议下，其发现能力比最强的固定基线方法高出 14.2 个百分点；并且该 VCG 能在不同场景和攻击通道之间迁移。最终，VCG 为生产安全团队提供了一种可审计的漏洞知识制品，用于检查漏洞、验证补丁、积累可复用的安全知识。

9Router is an AI router & token saver. Prior to 0.5.2, 9Router allows a remote authenticated attacker to achieve arbitrary code execution on the host operating system by combining a Host header bypass of localhost-only routes with unvalidated MCP plugin args passed to child_process.spawn(), allowing malicious custom plugins to execute commands through /api/mcp//sse. This issue is fixed in version

9Router is an AI router & token saver. Prior to 0.5.6, the Kiro API-key validation endpoint POST /api/oauth/kiro/api-key builds an upstream URL using a user-controlled region value, allowing an authenticated attacker to supply a crafted region such as kiro-canary.local:8443# and cause 9Router to send the Kiro validation request to an attacker-controlled host while forwarding the submitted Kiro API

9Router is an AI router & token saver. Prior to 0.5.4, the PATCH /api/settings endpoint writes the entire request body to persistent settings without a field whitelist, allowing an authenticated user to set security-critical fields such as requireLogin and disable authentication for the whole application, exposing protected routes such as /api/keys and /api/providers to unauthenticated access. Thi

9Router is an AI router & token saver. In 0.4.45 and earlier, 9Router's src/dashboardGuard.js local-only access gate used Host and Origin headers in isLocalRequest() to protect /api/mcp/*, /api/tunnel/*, and /api/cli-tools/*, allowing header spoofing in reverse proxy or tunnel deployments to reach MCP child process stdin paths.

9Router is an AI router & token saver. From 0.2.21 until 0.4.44, 9Router used the hardcoded fallback JWT secret 9router-default-secret-change-me in src/app/api/auth/login/route.js, src/middleware.js, and later src/lib/auth/dashboardSession.js, allowing attackers to forge an auth_token cookie when JWT_SECRET was unset. This issue is fixed in version 0.4.44

9Router is an AI router & token saver. From 0.4.30 until 0.4.37, 9Router's src/proxy.js middleware did not protect /api/cli-tools/* and /api/mcp/*, allowing unauthenticated registration of customPlugins through src/app/api/cli-tools/cowork-settings/route.js and command execution through the MCP bridge. This vulnerability is fixed in 0.4.37.

PLANET VDR-300NU ADSL Router - 未授权修改DNS

Acknowledgements

【EdgeOne】CNAME 域名生成规则调整公告

PyMdown Extensions is a set of extensions for the Python-Markdown markdown project. From 10.0.1 until 10.21.3, pymdownx.snippets uses a string-prefix containment check in SnippetPreprocessor.get_snippet_path() in pymdownx/snippets.py when `restrict_base_path: True`, allowing markdown snippet directives to read files from sibling paths that share the same base_path prefix, such as docs and docs_int

AWS Bedrock AgentCore Python SDK is an open-source Python library that provides client tools for building AI agents on the Amazon Bedrock AgentCore platform. Unintended logging of sensitive user content in the OpenTelemetry instrumentation in AWS Bedrock AgentCore Python SDK versions 1.4.8 and 1.5.0 might allow a local authenticated user with access to CloudWatch Logs to access raw user prompts

The Janssen Project is an open-source identity and access management (IAM) platform. Prior to 2.0.0, jans-auth-server accepts unsigned JWE request objects because JwtAuthorizationRequest skips inner signature validation when jwe.getSignedJWTPayload() returns null, and AuthzRequestService.processRequestObject() does not reject the unrecognized RSA-OAEP algorithm when forceSignedRequestObject=true.

The Microsoft 365 and Microsoft Entra ID Plugins for Moodle provide Office 365 and Azure Active Directory integration for Moodle. Prior to 4.5.6, 5.0.5, and 5.1.1, the Microsoft Office 365 Integration plugin local_o365 Teams SSO endpoint sso_login.php base64-decodes a JWT payload and authenticates users from the upn claim without verifying the JWT signature, allowing an unauthenticated attacker to

PlaywrightCapture stored capture-specific configuration and runtime data as mutable class-level variables rather than instance-level variables. Consequently, multiple Capture objects running within the same Python process could share state, including HTTP headers, cookies, browser storage, HTTP credentials, proxy configuration, user-agent settings, geolocation information, and captured request dat

Node Version Manager (nvm) is a POSIX-compliant shell function for managing multiple node.js versions. In versions 0.32.1 through 0.40.5, `nvm ls-remote` (and other commands that refresh remote LTS aliases, such as `nvm install --lts`) parse the node.js mirror's `index.tab` and use each release's LTS codename field as an alias filename without validating it. A malicious, compromised, or man-in-the

WWBN AVideo is an open source video platform. Versions 29.0 and below contain a stored Cross-Site Scripting vulnerability in the YouTubeAPI plugin. The plugin renders the snippet.title field returned by the YouTube Data API into the homepage gallery markup with no HTML encoding. The title is set by the YouTube video uploader (anyone in the world) and is treated by AVideo as trusted content. A YouT

WWBN AVideo is an open source video platform. Versions prior to 29.0 contain an unauthenticated Reflected XSS vulnerability through AVideo YouTubeAPI Gallery Pagination. The $_GET['search'] query parameter is concatenated directly into the href attribute of two pagination links in plugin/YouTubeAPI/gallerySection.php (lines 67 and 74) with no htmlspecialchars, no urlencode, and no allow-list check

WWBN AVideo is an open source video platform. Versions 29.0 and below contain a Stored XSS vulnerability through the autoEvalCodeOnHTML parameter in the MessageSQLite WebSocket Handler. The MessageSQLite.php handler only strips autoEvalCodeOnHTML from $json['msg'], but msgToResourceId() reads from $msg['json'] with higher priority. An attacker can place the XSS payload in the json key instead of m

Jupyter Enterprise Gateway launches remote Jupyter Notebook kernels across distributed clusters like Apache Spark, Kubernetes, and Docker Swarm. Versions 2.0.0rc1 and above prior to 3.3.0 have a prohibited UID and GID feature that by default prevents launching kernels with UID or GID 0 (root), and this restriction can be bypassed using a specially crafted KERNEL_UID or KERNEL_GID value. This input

WireGuard Easy through 15.3.0, fixed in commit 66b292b, contains a cryptographically weak one-time link token generation vulnerability that allows unauthenticated network attackers to recover WireGuard peer credentials by brute-forcing a keyspace of at most 1000 candidate tokens per client ID, as the token is computed using CRC32 over a random value constrained to 0-999. Attackers can enumerate ca

9Router is an AI router & token saver. From 0.2.21 until 0.4.44, 9Router used the hardcoded fallback JWT secret 9router-default-secret-change-me in src/app/api/auth/login/route.js, src/middleware.js, and later src/lib/auth/dashboardSession.js, allowing attackers to forge an auth_token cookie when JWT_SECRET was unset. This issue is fixed in version 0.4.44

9Router is an AI router & token saver. From 0.4.30 until 0.4.37, 9Router's src/proxy.js middleware did not protect /api/cli-tools/* and /api/mcp/*, allowing unauthenticated registration of customPlugins through src/app/api/cli-tools/cowork-settings/route.js and command execution through the MCP bridge. This vulnerability is fixed in 0.4.37.

过去十年中，模糊测试已被证明是一种高效的软件漏洞发现方法。自AFL引入轻量级覆盖率反馈这一开创性概念以来，模糊测试领域涌现了大量科学工作，提出了新技术、改进了现有策略的方法论方面，或将现有方法移植到新领域。所有这些工作都需要通过展示其解决问题的适用性、测量性能，并通过深入的经验评估证明其相对于现有工作的优越性。然而，模糊测试对其目标、环境和条件高度敏感，例如测试过程中的随机性。毕竟，依赖随机性是模糊测试的核心原则之一，控制着模糊器行为的许多方面。结合往往难以控制的环境，实验的可重复性成为一个关键问题，需要谨慎的评估设计。为了应对这些有效性威胁，一些工作，尤其是Klees等人的《Evaluating Fuzz Testing》，已经概述了如何精心设计评估设置，但其建议在实践中被采纳的程度仍不清楚。本文系统分析了2018年至2023年间顶级会议上发表的150篇模糊测试论文的评估方法。我们研究了现有指南的实施情况，并观察到潜在的不足和陷阱。我们发现，现有指南在统计检验方面被惊人地忽视，且模糊测试评估中存在系统性错误。例如，在调查报告的漏洞时，我们发现对真实世界软件中漏洞的搜索导致了作者请求并接收了质量可疑的CVE。将我们的文献分析扩展到实践领域，我们尝试复现八篇模糊测试论文的声称。这些案例研究使我们能够评估模糊测试研究的实际可重复性，并识别评估设计中的典型陷阱。不幸的是，我们的复现结果揭示了所研究论文中的若干缺陷，我们无法完全支持和复现相应的声称。为帮助模糊测试领域迈向科学上可重复的评估策略，我们提出了更新后的评估指南，供未来工作遵循。

Akamai 于2026年7月17日发布了一款名为“Firewall for AI”的新产品，旨在保护人工智能模型、应用和API免受各类网络攻击。该产品专注于防御针对AI基础设施的通用威胁，如分布式拒绝服务攻击、数据泄露、模型盗取和恶意输入。Firewall for AI 利用 Akamai 的全球边缘网络和实时威胁情报，提供零日防护、速率限制、请求验证和异常检测等功能。该产品特别关注生成式AI和大型语言模型面临的独特安全挑战，例如提示注入、培训数据窃取和模型反转攻击。通过部署该防火墙，企业可以安全地部署AI服务，同时减少对公共模型的依赖风险。Akamai 表示该产品已集成到其现有的Web应用防火墙和API安全平台中，支持混合云和多云环境。虽然该产品并非针对特定已发现威胁，而是作为预防性措施，但其发布反映了云安全厂商对AI安全工作负载的日益关注。

Artificial intelligence (AI) is changing offensive security, but it has not changed the standard that matters most: a finding has to be proven before it becomes useful. AI-assisted tools can read code quickly, generate payloads, summarize attack surfaces, explain unfamiliar APIs, and run repetitive testing workflows at impressive speed. That is a real advantage for security teams. It also

Firefox browsers

Sign in to Cloud

Sign Up for Free Cloud Tier

iOS 26.4.2 and iPadOS 26.4.2

iOS 18.7.8 and iPadOS 18.7.8

iOS 18.7.7 and iPadOS 18.7.7

iOS 26.4 and iPadOS 26.4

Background Security Improvements for iOS, iPadOS, and macOS

iOS 16.7.15 and iPadOS 16.7.15

iOS 15.8.7 and iPadOS 15.8.7

iOS 26.3 and iPadOS 26.3

iOS 18.7.5 and iPadOS 18.7.5

iOS 26.2 and iPadOS 26.2

iOS 18.7.3 and iPadOS 18.7.3

Compressor 4.11.1

iOS 18.7.2 and iPadOS 18.7.2

iOS 26.1 and iPadOS 26.1

iOS 26.0.1 and iPadOS 26.0.1

iOS 18.7.1 and iPadOS 18.7.1

Android Code Search

Android Devices

Secure an Android device

Android 16 QPR2

Mobile network security

iOS 26.5 and iPadOS 26.5

iOS 18.7.9 and iPadOS 18.7.9

iOS 16.7.16 and iPadOS 16.7.16

iOS 15.8.8 and iPadOS 15.8.8

MFSA 2026-49Security Vulnerabilities fixed in Firefox for iOS 151.0

MFSA 2026-52Security Vulnerabilities fixed in Firefox for iOS 151.1

MFSA 2026-53Security Vulnerabilities fixed in Firefox for iOS 151.2

MFSA 2026-55Security Vulnerabilities fixed in Focus for iOS / Klar 151.3.1

MFSA 2026-56Security Vulnerabilities fixed in Firefox for iOS 152.0

iOS 26.5.2 and iPadOS 26.5.2

MFSA 2026-65Security Vulnerabilities fixed in Firefox for iOS 152.3

【大模型服务平台 TokenHub】&【智能体开发平台】& 【云开发 CloudBase】 关于腾讯云 MiniMax-M2.5 模型下线及切换升级的通知

MFSA 2026-66Security Vulnerabilities fixed in Firefox for iOS 152.4

APSB26-77: Security update available for Adobe Creative Cloud Desktop Application

clawvet self-hosted API server (apps/api) before 0.7.5 hard-codes a fallback JWT secret ('clawvet-dev-secret-change-me') in auth.ts and ships it as the default in .env.example. Because GET /api/v1/scans returns scan records containing userId values without authentication, a remote unauthenticated attacker can harvest a victim's userId, forge a valid HS256 cg_session cookie offline using the known

The Grav API plugin (getgrav/grav-plugin-api) before 1.0.0-rc.16 shipped Access-Control-Allow-Origin: * as its default CORS configuration on all responses, including authenticated endpoints and preflight (OPTIONS) responses. Because the plugin accepts credentials via the Authorization and X-API-Token headers (set programmatically by JavaScript rather than via cookies), an attacker who obtains a va

The Grav API plugin (getgrav/grav-plugin-api) before 1.0.0-rc.16 accepts JWT access tokens through the ?token= URL query parameter on every API route (JwtAuthenticator::extractBearerToken fallback). Because tokens are embedded in URLs, they are logged verbatim in web server access logs, leaked via the Referer header, stored in browser history, and captured by upstream proxy and CDN logs, exposing

OpenClaw 2026.4.14 before 2026.5.26 contain a server-side request forgery vulnerability in browser snapshot routes that fail to validate post-navigation destinations. Attackers with lower-trust access can bypass OpenClaw policy checks to reach network destinations that should have been blocked.

OpenClaw 2026.3.28 before 2026.5.19 contain an authorization bypass vulnerability in the browser act route that fails to properly validate current-tab URL checks. Attackers with lower-trust access or configured input paths can perform actions requiring stronger authorization or policy checks.

The Bricksforge plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 3.1.8.6. This is due to improper validation of the fieldIds parameter in the Pro Forms registration action, which allows attacker-supplied field IDs to be added to the trusted form-field whitelist. This makes it possible for unauthenticated attackers to register a new administrator acco

Improper Input Validation in Zoom Desktop Client for Windows, Zoom VDI Client for Windows, and Zoom Meeting SDK for Windows may allow an unauthenticated user to conduct an account takeover via network access.

Out-of-bounds write vulnerability in Legion of the Bouncy Castle Inc. BC-LTS bcprov-lts8on on ARM allows Overflow Buffers. This vulnerability is associated with program files https://github.Com/bcgit/bc-lts-java/blob/main/native_c/arm/sha/shake.C, https://github.Com/bcgit/bc-lts-java/blob/main/native_c/arm/sha/sha3.C. This issue affects BC-LTS: from 2.73.0 before 2.73.12.1. Issue is only a

The illumos SCTP inbound path performs association lookup for INIT ACK chunks without adequately validating the address parameters carried in the chunk. Since this lookup runs during packet classification (i.e. before SCTP integrity checks or IPsec policy are applied) a remote, unauthenticated attacker can send a crafted SCTP INIT ACK packet with malformed address parameters to cause an out-of-bou

### Summary In affected versions, the deprecated WebSocket server transport (`mcp.server.websocket.websocket_server`) accepted the WebSocket handshake without applying any `Host` or `Origin` header validation. The `TransportSecuritySettings` mechanism that the SSE and Streamable HTTP transports use for this purpose was not wired into the WebSocket transport, so there was no SDK-level way to restri

### Summary Pheditor ships with a hardcoded default password `admin` (SHA-512 hash stored at `pheditor.php:11`). There is no mechanism to force a password change on first login. Any deployment using the default credentials grants an attacker full access to the file editor, file upload, and terminal features, enabling arbitrary file read/write and remote code execution. ### Details Tested reposi

### Impact The fix for CVE-2026-44221 (GHSA-fxc7-fm93-6q77) added an `UPDATE_SCHEMA` authorization check to a single schema-mutating method (`LocalDocumentType.createProperty`). The remaining public schema mutators were left unchecked, so an authenticated identity (including a **read-only API token**) that lacks the `UPDATE_SCHEMA` permission could still mutate the database schema on its own data

### Impact The SQL `IMPORT DATABASE` statement did not require administrative privileges and passed its source URL to the importer without validation. Any authenticated user with SQL command access (not only `root`/administrators) could therefore: - **Server-Side Request Forgery (CWE-918):** cause the server to issue HTTP(S) requests to arbitrary destinations, including cloud metadata endpoints

## Summary Nuclio Dashboard exposes `POST /api/functions` without authentication by default (NOP auth mode). The `spec.handler` field (e.g., `mymodule:myfunction`) is parsed by `functionconfig.ParseHandler()` which splits on `:` only — no path validation is applied to the module portion. During function build, `writeFunctionSourceCodeToTempFile()` passes the module name directly to `path.Join(te

## Summary Nuclio's Java runtime generates a `build.gradle` file during function builds using Go's `text/template` package. The template renders `runtimeAttributes.repositories[]` values with the `{{ . }}` action, which performs no escaping. An attacker can embed a closing brace (`}`) to break out of the `repositories {}` block and append arbitrary Groovy statements that execute unconditionally d

# Security Advisory: SSRF in remote MCP server authentication discovery **Severity:** High. **CWE:** CWE-918. **Affected:** ToolHive through the latest release v0.29.3 and current `main` (HEAD b672d82f, 2026-06-12; re-verified 2026-06-14). `FetchResourceMetadata` and the discovery clients remain unguarded; no commits to `pkg/auth/discovery` or `pkg/auth/remote` address this. Originally identified

该论文提出 ProfMalPlus，一种基于代理协调的恶意 NPM 包检测器，旨在应对开源软件供应链攻击，特别是通过传递依赖注入的恶意代码。现有检测器存在四大不足：对混淆行为建模不充分、忽视 JavaScript 面向对象的特性、静态与动态分析协调不佳、行为抽象过程中丢失语义信息。ProfMalPlus 结合对象敏感行为图与带注释代码片段的 LLM 推理，首先识别安装命令和入口文件，然后构建包含敏感 API、第三方调用和未解析调用的图。从图中提取安全相关的代码片段并添加内联静态分析证据。本地 judge agent 独立评估每个片段，通过自一致性机制合并重复判断以减少 LLM 方差；全局 judge agent 综合所有报告给出入口级别的判定。对于不确定的情况，路由选择第三方增强（添加注册表导出的模块和方法语义）或动态增强（在沙箱中执行包以解析运行时依赖行为），增强后的证据反馈重新评估。最后，定位 agent 报告恶意代码片段及解释。实验表明，ProfMalPlus 达到 98.1% 的 F1 分数，比现有最先进检测器高出 3.5% 至 52.6%，并发现了 597 个此前未知的恶意包（均已确认并从 NPM 移除）。该方法融合了静态、动态、LLM 推理和代理架构，显著提升了检测精度与覆盖范围。

本研究聚焦于现代软件开发中代码来源的区分问题：开发者的代码可能来自人类编写的Stack Overflow答案，也可能来自大型语言模型（LLM）的输出。论文提出了一个完全基于开源数据的可复现流水线，用于收集31个安全敏感编程任务（例如OAuth with PKCE、JWT验证、密码哈希、SQL访问）的真实实现，涵盖9个LLM和人类（通过Stack Overflow API获取）。共收集528个样本，使用确定性安全检测器和风格检测器进行评分。基于这些特征，训练了一个交叉验证的分类器，能够以93%的准确率（基线78%）区分人类与模型编写的代码，并进一步以48%的准确率将样本归因到具体的LLM。论文还比较了人类和LLM在安全模式上的差异，发现LLM在某些安全模式上比人类更常采用，而在其他模式上则继承了人类的不足。实验在Python、JavaScript、Go和Java四种语言中进行，结果表明安全差异在所有语言中普遍存在，但来源分类边界部分依赖于语言，且在不同语言间不对称。此外，论文进行了漏洞修复案例研究，将不安全的代码交给LLM修复，结果显示21个随机种子和12种弱点类别下修复率为77%，但存在一种重复的“部分修复失败”现象：模型去除了不安全模式，却未能添加正确的防御措施。流水线是数据驱动的，新任务或新语言只需添加单个规范条目即可扩展，且所有结果可通过失败封闭检查器从存储数据中重新验证。该研究为安全分析师提供了区分代码来源和评估LLM安全行为的工具，有助于理解AI生成代码的风险。

本文研究了开源软件漏洞生态系统中，不同漏洞扫描器对同一软件清单报告结果不一致的问题。作者指出，这些差异并非仅由数据源或扫描器实现引起，而是在漏洞信息的创建、标准化、丰富化到上下文相关解释的多个阶段中产生。论文提出了一个概念框架，将漏洞管理描述为分布式信息交换与转换过程，并识别出异构信息源、分歧的身份与版本模型、时间变化以及上下文相关评估是导致扫描结果不一致的主要原因。最后，讨论了这些发现对解释分析结果、设计可复现评估方法以及处理动态漏洞知识的实践意义。

本文提出 FlowGuard，一种基于证据的 MCP（模型上下文协议）安全检测系统。MCP 使得 LLM 代理能够通过元数据交换、工具调用和响应消费与外部工具交互。现有 MCP 安全扫描器主要基于语义信号推理可疑行为，而非实际执行行为，导致风险评估不可靠（例如，凭证类字符串可能只是占位符而非实际泄露）。FlowGuard 结合语义风险分类、侦察引导的载荷缩减、模式验证的探测生成、证据裁决和历史引导的细化，通过运行时证据验证执行相关风险，并检测工具元数据和返回内容中的语义风险。在包含 1,880 个 MCP 案例（覆盖五类漏洞）的可执行基准上，FlowGuard 在命令注入和文件系统访问类别上分别达到 0.879 和 0.942 的 F1 分数。与现有动态扫描器相比，端到端延迟降低达 2.23 倍。在真实世界评估中，FlowGuard 在 326 个服务器上报告了 523 个发现。结果表明，证据驱动的检测能够同时评估 MCP 交互中的执行相关风险和语义风险。

本文提出 xChk，一个参考身份提供商，实现“自带身份”（BYOI）模式：用户可以通过多种异构方式注册身份，包括政府 KYC、企业 SSO、WebAuthn/FIDO2、专业网络、实时验证、长期活动、行为信号等，并将这些证明作为声明（claims）包含在标准的 OAuth 2.0 / OpenID Connect (OIDC) 令牌中。每个依赖方（Relying Party, RP）自行决定足够的身份保证策略——身份提供商仅传输声明，并可根据 RP 提供的证据策略评估同意，但不裁决访问权限。注册深度因方式而异（部分路径由用户发起；组织 KYB 和绑定官员需要操作员协助）。xChk 还支持高风险操作的人工介入认证：人类可以直接通过浏览器 UI 或 POST /api/attestations 发起认证，而 AI 代理在这些主体下执行时，可以通过作用域限定的 authorize/attest 触发相同网关——基于共享验证图（humans via OIDC; agents via API keys）的哈希链式人工审批。项目已有生产部署于 https://in.xchk.io，两个发起路径均已上线，并伴有双边 RP 评估同意；一个已记录的依赖方（https://crabbyed.com，附录 B）实现了“使用 xChk 登录”。本文适合关注去中心化身份、联邦认证、零信任架构以及人机协同身份治理的安全研究人员和工程师阅读。

该论文针对大语言模型（LLM）水印技术在实际部署中面临的两大瓶颈——严重降低模型性能和引入额外推理开销——进行了系统性研究。首先，作者构建了一个涵盖不同生成任务的综合基准，评估了9种代表性水印方法，发现现有方法主要针对文本流畅性设计，在受限或复杂任务上效果不佳，且推理延迟过高，难以用于延迟敏感系统。为解决这些问题，论文提出了一种针对混合专家模型（MoE）的水印方案 WaterMoE。不同于传统水印作为后处理令牌采样步骤，WaterMoE 在推理循环内部通过受控扰动影响每个路由器的专家选择，逐步累积到最终输出的令牌选择偏移，从而嵌入水印信号。该方法在 MoE 架构上几乎不引入额外的性能损失和计算开销。大量实验表明，WaterMoE 在水印保真度上接近无加水印的原始模型，并持续优于现有最先进方法，同时实现了最高4倍的加速，推理延迟仅比原生生成增加1%。该结果证明了 WaterMoE 在实际任务中部署的潜力。论文贡献包括：指出现有水印方法的性能-开销权衡问题；提出一种嵌入推理循环的 MoE 专属水印框架；通过全面实验验证了其高保真、高效率特性。适合对 LLM 安全部署、内容溯源、水印技术感兴趣的研究者和工程师阅读。

该论文针对设备端大语言模型（LLM）推理面临的三难困境：响应延迟、有限硬件资源和用户隐私。完全云端推理虽然计算能力强，但会暴露用户提示和对话数据；而完全设备端推理在大多数消费级和嵌入式边缘设备上不可行。为此，作者提出了一种以隐私为核心的边缘-云协作LLM推理框架，基于端点认证的KV缓存。本地端点负责输入预处理、嵌入计算、自适应特征优化、KV缓存认证、推测解码以及低维模型头计算；云端则进行经过认证的解码器推理、KV缓存管理、令牌验证和高维词汇表投影。端点融合部分输出，应用语言自适应掩码并采样目标令牌。所有传输的数据和截断的logits都经过量化，并使用AES-GCM加密以保护隐私，核心轻量级模块、草稿参数和缓存访问策略保留在本地以避免泄漏。该框架支持异构设备，包括仅CPU、GPU设备和嵌入式设备，通过优化流式处理、批处理和量化ONNX部署。评估表明，与基线分割推理相比，该框架将每令牌延迟最多降低46.1%，下行负载最多降低67.4%，同时保持与完全云端推理相当的性能。

该论文提出并评估了 MindReader，一个帮助用户在需要更换密码时生成既安全又易记的替代密码的工具。用户通常倾向于将旧密码替换为可预测的变体（如增加数字或特殊字符），这使得攻击者容易猜测。MindReader 利用大语言模型（LLM）来推断原始密码各组件的语义含义（例如，“Fluffy!”中的“Fluffy”可能指宠物猫），然后建议语义相关但语法无关联的新组件（例如，与“猫”相关的“Whiskers”），从而生成与原密码有个人关联但难以自动预测的新密码。用户研究（n=？）表明，使用 MindReader 生成的替代密码比用户自行生成的替代密码和原始密码更难被在线攻击猜中（即使攻击者知道原始密码并完全了解工具实现）。同时，一周后的登录测试显示其可记忆性与传统替代密码和原始密码相当。论文的主要贡献是：提出了一种基于 LLM 的个性化密码生成方法，在不牺牲可用性的前提下显著提升安全性，并验证了在实际场景中的有效性。适合密码安全研究员、人机交互学者及企业安全策略制定者阅读。

该论文聚焦于大语言模型（LLM）从云端向边缘设备（如企业本地服务器、个人终端、物联网平台）迁移过程中面临的安全与隐私挑战。作者指出，边缘环境下有限的计算和内存资源迫使开发者采用量化、剪枝、模型分区、参数高效微调等优化技术，但这些技术可能引入新的漏洞并改变威胁格局。论文将此矛盾定义为“安全-效率悖论”——提升效率的机制可能削弱鲁棒性、暴露新攻击面或增加隐私风险。具体风险包括：压缩降低安全对齐、分区推理使重构攻击成为可能、持续本地适应导致隐私泄露和模型漂移。为系统性分析这些风险，作者提出了一种以部署为中心的漏洞分类法，围绕三大架构约束构建：内存墙（参数与缓存限制）、二次方墙（注意力机制的计算复杂度）、计算墙（硬件算力瓶颈）。基于此，论文推导出一个统一约束模型，量化何时不安全优化变得不可避免，并建立了每堵墙与特定攻击面的映射关系。进一步，作者提出了安全运营效率评分（SOES），这是一个平衡任务准确性、越狱抵抗性、隐私保护与能量、内存、延迟的综合指标，帮助从业者在真实硬件限制下配置边缘LLM。最后，论文给出了实用的决策流程和针对每种优化引入漏洞的定向缓解措施。实验部分通过案例研究展示了框架的有效性。该工作为边缘智能系统的安全、隐私与效率协同一体化设计奠定了基础。

该论文研究多智能体LLM系统在运行时监控方面的安全漏洞。现有安全机制通常对每个智能体的消息、工具调用或步骤进行独立检查（局部监控），但作者发现这存在根本性缺陷：分布式后门攻击可以将有害负载拆分到多个智能体中，使得每个局部检查都通过，而组合后的对象却是攻击载荷。局部监控在每一步都是正确的，但仍可能漏检攻击。问题的关键不是拆分本身（因为拆分后的片段仍可能泄漏可疑令牌或溯源边），而是“局部无害性”：没有任何片段携带危害，剩余部分看起来像正常流量。作者将这一现象形式化为“可观测性边界”：监控只能捕捉到其视角下能与正常流量区分开的内容。证明表明，一旦片段在监控视角下看起来无害，任何基于该视角的检测器都无法捕捉它们。在受控测试平台、外部基准和端到端智能体运行中，局部监控恰好会在局部证据消失时丢失信号，只有在监控看到组合对象时才重新捕获信号。仅用正常流量训练的监控能够在保留的编码上恢复攻击的代码结构（平均AUROC 0.874）。给定编码族后，一种解码视图门可以阻止所有测试的攻击。但仅仅看到更多还不够：全迹监控和解码器仍然会失败，除非它们达到负载暴露的表示层。论文结论是，当危害是组合性时，局部安全不等于全局安全，开放问题是如何找到那个暴露负载的表示层。适合从事LLM安全、多智能体系统防御的研究者和工程师阅读。

本研究基于大语言模型（LLM）在代码安全漏洞检测中的“路由假设”（router hypothesis）展开实验验证。路由假设认为，LLM虽具备解决任务的知识，但内部缺乏可靠的“路由”机制来一致激活这些能力。先前在形式化数学推理领域的工作（SAIR，Cázares 2026）发现，引入结构先验（即“小抄”）能大幅提升分布内性能，但会在分布外（OOD）场景下崩溃至低于零样本基线，且迭代重校准会加剧而非纠正这种崩溃。本文将该实验设计迁移至源代码安全漏洞检测领域，评估了GPT-OSS-120B、Llama-3.3-70B和Gemma-4-31B三种LLM在三种漏洞类型（CWE-798硬编码凭证、CWE-284访问控制不当、以及非CWE的N+1反模式）上的表现，这些漏洞涵盖了句法、上下文和语义复杂度。随后，作者将带有小抄的提示迁移到VUDENC数据集中的真实CVE数据（CWE-89和CWE-22）。结果发现：（F1）结构先验将所有模型的语义漏洞召回率从20.0%提升至100.0%；（F2）零样本性能随语义复杂度梯度下降；（F3）相同的、在合成数据上表现饱和的小抄，在真实CVE数据上会加剧分布偏移导致的性能崩溃（CWE-89：合成数据F1=100%，VUDENC上F1=48.9%，下降51.1个百分点）；（F5）迭代重校准生成的v2小抄在真实数据上表现比v1更差，呼应了SAIR中AN45c与AN38的对比。这些结果证明SAIR中观察到的跨分布权衡曲面在代码安全领域具有普遍性，并且路由假设是跨领域的。论文主张，性能崩溃的结构性本质促使应使用分布感知训练而非提示校准。代码和评估脚本已开源。

Palo Alto Networks Unit 42 团队发布了关于 npm 生态系统威胁态势的更新分析报告。报告指出，自 Shai Hulud 事件后，npm 供应链攻击持续演进，出现了可蠕虫化的恶意软件、CI/CD 持久化机制以及多阶段攻击等新型威胁。攻击者利用 npm 包的广泛分发特性，通过恶意包注入、依赖混淆、typosquatting 等手段渗透开发环境，进而横向移动至生产系统。报告重点分析了 CI/CD 管道中的持久化技术，攻击者可在构建过程中植入后门，导致每次部署都携带恶意代码。此外，蠕虫化恶意软件能够自动感染相关联的包，引发连锁反应。尽管报告未给出具体的攻击组织、恶意软件家族或 CVE 编号，但提供了详细的攻击面分析和缓解措施，帮助安全团队理解当前 npm 威胁格局并制定防御策略。目前尚未发现大规模在野利用的证据，但攻击手法日益复杂，开发者和安全团队需保持警惕。

Cloud & Application Security

From Scanner to Stealer: Inside the trivy-action Supply Chain Compromise

Next-Gen Identity Security

CrowdStrike Named an Innovation and Growth Leader in the 2026 Frost Radar™: Cloud and Application Runtime Security

CrowdStrike Expands Identity Leadership with OpenID and IDPro

cloud architecture assessment

ransomware and multifaceted extortion defense

Google Cloud Next 2026Catch-up sessions on the keynotes and select sessions are now available on demand.Explore content on-demand

The Identity Problem Hiding in AI Agent Deployments

94% of Organizations Report Cloud Breaches: CrowdStrike State of CDR Survey

Falcon Cloud Security June 2026 Release: Updates for Azure and Google Cloud

Threat actors compromised AsyncAPI packages and weaponized trusted CI/CD workflows to distribute malware through npm. This analysis breaks down the attack chain, payload delivery, and recommended defenses. The post Unpacking the AsyncAPI npm supply chain compromise and import-time payload delivery appeared first on Microsoft Security Blog.

Security teams have never had more visibility, yet rarely have they felt more uncertain. Signal pours in from endpoints, identities, cloud workloads, and a sprawling mix of third-party tools. The post Turning threat intelligence into decisive action with Defender Experts appeared first on Microsoft Security Blog.

As AI agents become more autonomous, strong identity, access, and auditing controls are critical to keeping them secure. The post Least privilege for AI agents: Identity, access, and tool binding appeared first on Microsoft Security Blog.

Traditional security workflows were built for environments that changed at human speed. Token Security explains why AI agents require a new approach: building on a live identity foundation while giving security teams the flexibility to create workflows tailored to their own environments. [...]

本文对知名子弹头托管服务商 CyberBunker 2.0 进行了深入分析，重点从域名和网络流量两个维度揭示其运营模式。研究首先收集了与该服务相关的域名注册数据，发现其使用大量随机生成的域名、频繁更换注册商和顶级域，并利用隐私保护服务隐藏真实身份。在流量层面，通过分析网络数据包，发现其服务器托管了大量恶意软件、钓鱼网站和赌博内容，且采用多IP地址轮换、CDN代理和加密通信等反检测技术。实验基于公开数据和合作机构提供的流量样本，验证了这些特征在识别此类服务中的有效性。主要贡献包括：提出一套基于域名统计特征和网络行为特征的检测方法，并公开了部分特征集。论文适合安全运维人员、威胁情报分析师及网络犯罪研究者阅读。

本论文针对 Rust 语言中解析和序列化操作的安全性与性能挑战，提出了一种名为 Vest 的新型框架。Rust 以其内存安全著称，但手写解析器和序列化器仍然容易出错且效率低下。现有方案（如 serde）虽提供自动化，但缺乏形式化验证，且难以应对复杂格式。Vest 结合了形式化验证与高性能实现：首先，用户使用一种安全领域专用语言（DSL）描述数据格式规范；然后，Vest 自动生成经过验证的解析器和序列化器代码。其核心创新在于利用符号执行和 SMT 求解器对生成的代码进行属性验证（如内存安全、无崩溃、格式合规），同时通过编译器优化和运行时技术（如零拷贝、预分配）保持接近手写代码的性能。实验在多个实际数据格式（如 JSON、MessagePack、FlatBuffers）上评估，结果显示 Vest 不仅消除了常见漏洞（如缓冲区溢出、未定义行为），而且性能与 serde 相当或更优，在某些场景下提升高达 30%。该工作为 Rust 生态系统提供了安全与效率兼顾的解析/序列化基础设施，适合编译器工程师、形式化方法研究者及系统程序员阅读。

本文提出了一种名为TRex的实用二进制代码类型重建方法。二进制代码缺乏类型信息，给逆向工程和安全分析带来困难。TRex通过结合静态分析和动态执行轨迹，利用符号执行和约束求解技术，从二进制代码中推断出变量的原始类型（如整数、指针、结构体等）。该方法设计了一套类型约束系统，能够处理常见的编译器优化和混淆，并在多种架构（x86、ARM）上验证了有效性。实验结果表明，TRex在重建类型准确率上优于现有工具（如TIE），且性能开销可接受。该工作对于恶意软件分析、漏洞挖掘和程序理解具有重要价值。

QUIC协议因近期标准化及各大科技公司的推动而日益普及，成为新一代传输层协议。然而，对其安全性的全面审查至关重要。本文首次系统分析了QUIC协议设计本身（而非常见漏洞）所引发的客户端请求伪造攻击。研究聚焦于三种攻击模式：协议冒充、流量放大以及（推测的）其他形式。作者通过分析QUIC协议消息的可控攻击空间，证明其中一种攻击模式能够成功冒充其他基于UDP的协议（例如DNS请求），并识别出流量放大向量。尽管QUIC规范规定了反放大限制，但对13个常用QUIC服务器实现的评估表明，部分实现缺失或未充分实施这些缓解措施。最后，针对协议冒充提出了缓解方案，并讨论了规范中的歧义之处。该工作为QUIC协议的安全性提供了重要视角，揭示了设计层面可能存在的安全隐患。

该论文研究分割学习（Split Learning）场景下的劫持攻击防御问题。分割学习是一种分布式机器学习范式，允许多个参与方在不共享原始数据的情况下协作训练模型，但存在安全漏洞：攻击者可能劫持模型参数或梯度，窃取敏感信息。作者提出了一种名为“Pinocchio's Nose”的梯度审查器（Gradients Scrutinizer），通过利用内在属性（intrinsic attributes）来检测和防御分割学习中的劫持攻击。具体地，该方法从梯度中提取统计特征（如均值、方差、高阶矩等），并基于这些特征构建分类器，以区分正常梯度与被劫持的恶意梯度。实验在多个数据集（如CIFAR-10、MNIST、ImageNet）和模型架构（如ResNet、VGG）上进行，结果表明该方法能够以高精度检测多种劫持攻击（包括替换、添加噪声、反向梯度等），且对模型训练性能的影响极小。核心贡献包括：(1) 首次从梯度内在属性角度系统分析分割学习劫持攻击的可检测性；(2) 设计轻量级、模型无关的防御机制，无需修改训练协议；(3) 在多种攻击场景下验证了方法的有效性和鲁棒性。该研究为分割学习的安全部署提供了实用的检测工具。

REDsec 是一个基于全同态加密 (FHE) 的私有机器学习推理框架，旨在解决 MLaaS 场景中的隐私泄露风险。核心创新在于利用三元神经网络（权重约束为 {-1,0,1}）的独特性质，在密文域高效实现推理计算。REDsec 提出了新的数据重用方案，首次在 FHE 中实现了整数域与二进制域的双向桥接，从而支持高效的二进制乘法、激活函数以及整数加法。此外，REDsec 配套开发了 GPU 加速库 (RED)cuFHE，支持多 GPU 上的二进制和整数运算。框架支持用户自定义模型（Bring-Your-Own-Network），并自动完成明文训练，最终在 TFHE 上高效评估私有推理。实验使用 MNIST、CIFAR-10 和 ImageNet 数据集，与相关工作相比展示了显著的性能提升。该工作适合对隐私保护机器学习、同态加密实用化感兴趣的研究人员和工程师阅读，其核心贡献在于通过架构创新大幅降低 FHE 推理的计算开销。

混合网络（Mix networks）是一种隐藏通信元数据的成熟技术，但在群组通信场景中开销较高，阻碍了其实际应用，因为群组通信是现代通信模式的重要组成部分。本文提出“PolySphinx”，一种扩展Sphinx混合格式的混合网络格式，旨在高效支持匿名多播（anonymous multicasting）。PolySphinx允许混合节点将消息负载复制给多个接收者，从而在保持匿名性的同时降低群组消息的延迟。作者通过形式化分析证明了PolySphinx不会削弱用户匿名性，并通过仿真实验评估了其性能：在25个成员的群组中，使用PolySphinx的平均延迟从最先进的Rollercoaster方法的6.1秒降至4.1秒，性能提升约33%。此外，PolySphinx兼容现有Sphinx格式的加密和路由机制，可渐进式部署。该研究为匿名群组通信提供了更高效的设计思路，尤其适用于需要同时向多个接收者发送匿名消息的场景，如匿名投票、分布式信任建立等。

该研究针对一所大学的企业网络，系统调查了其中暴露Telnet和FTP服务的IoT设备存在的根本原因。研究者首先对网络进行扫描，发现了185台IoT设备，涵盖30个暴露Telnet的设备型号和49个暴露FTP的设备型号。随后向设备所有者发送安全通知和问卷以了解设备配置意图。问卷结果显示，在21位Telnet设备所有者中，有2位故意在所有设备上启用了Telnet；在41位FTP设备所有者中，有8位故意启用FTP。收到通知后，47位所有者中的38位表示愿意至少对一台IoT设备采取措施，最终除一台设备外，其余所有愿意采取行动的设备均成功修复。研究者进一步查阅设备手册，发现30款Telnet设备型号中有15款的手册完全未提及该服务暴露情况，49款FTP设备型号中有10款手册未提及。结合制造商调查与手册分析，确认30款Telnet设备型号中有22款默认启用Telnet，49款FTP设备型号中有29款默认启用FTP。基于以上结果，研究者得出结论：网络中错误配置的设备主要并非所有者的人为失误，而是制造商的选择所致。大多数所有者在被告知安全风险后都愿意进行修复。研究揭示了IoT设备供应商在默认安全配置方面的不足，并强调了安全通知在促进修复中的有效性。该工作适用于网络管理员、安全运营团队以及IoT设备制造商。

本文研究了针对人类中心型自然语言处理（NLP）系统的隐蔽后门攻击，提出两种生成自然且隐蔽触发器的后门植入方法。第一种方法利用同形字替换（homograph replacement），通过视觉上相似但编码不同的字符（如拉丁字母与西里尔字母）替换正常文本中的部分字符，生成触发器；第二种方法利用语言模型生成的文本与真实自然文本之间的细微差异，构造语法正确、流畅度高的触发语句。作者在三个安全关键的下游NLP任务上验证了攻击效果：毒性评论检测（Toxic Comment Detection）、神经机器翻译（NMT）和问答系统（QA）。实验表明：在毒性评论检测中，仅注入3%的毒化数据即可达到97%以上的攻击成功率（ASR）；在NMT中，使用不到0.5%的注入数据实现95.1%的ASR；在QA中，仅需27个毒化样本（原训练集92024个样本的0.029%）即可达到91.12%的ASR。攻击后模型对常规用户仍保持正常功能，但触发器可被攻击者激活产生恶意行为，且人类管理员难以察觉触发器异常。该研究揭示了现有语言模型后门防御方法对高度隐蔽触发器的失效风险。

随着智能音频系统（如智能音箱、语音助手）的普及，其面临的机器诱导音频攻击（包括重放攻击、合成攻击、隐藏语音命令、不可听攻击以及音频对抗样本）日益严重，对用户的隐私和安全构成威胁。现有防御方案通常针对单一攻击类型，难以整合为统一的实用部署；且大多数研究仅使用单通道或双通道音频，忽视了现代智能设备普遍配备的多通道麦克风阵列提供的空间信息潜力。本文提出一种基于多通道麦克风阵列的机器诱导音频攻击鲁棒检测方法。首先，从多通道音频中提取幅度谱图和相位谱图，以捕获声源的空间特征。然后，利用深度学习模型（如卷积神经网络）学习人类语音与机器播放音频在空间-频谱域上的本质差异。为了提升模型在新声学环境中的泛化能力，作者引入了无监督域自适应训练框架，使模型能够适应未标注的目标域数据。实验采用一个公开的多通道重放攻击数据集以及一个自收集的包含5种先进音频攻击的多通道数据集进行评估。结果表明，在检测多种机器诱导攻击时，该方法最低可达到6.6%的等错误率（EER）；即使在新的声学环境下，EER仍低至8.8%。该工作为智能音频系统提供了一种全面的、可实际部署的音频攻击防御方案。

本文探讨了区块链协议的安全保证与实现方式之间的内在关系。作者指出，不同类型的区块链协议（如BFT类与最长链类）提供不同的安全保证，例如Algorand在部分同步环境下安全，而Bitcoin需要更强的同步性。另一个关键区别是是否允许单一不可信用户提供证书（certificates）作为区块确认的不可争辩证据，Algorand支持而Bitcoin不支持。为解释这些差异是否源于协议设计范式的必然结果，作者运用[12]中开发的框架，证明这些特性直接关联于用户选择过程（即PoW或PoS等共识机制）。主要贡献包括：严格证明PoW协议不可能产生证书，而标准PoS协议则自动具备该特性；此外还定义了若干安全概念并揭示了它们之间的等价与非等价关系。该研究为理解无许可区块链协议的安全本质提供了理论基础，对协议设计、分片扩展性以及安全验证有重要指导意义。

本文提出了一种基于振动的智能手表用户认证方法，无需额外硬件。该方法利用智能手表内置的振动电机（作为挑战）以及陀螺仪和加速度计（测量响应）。由于人体结构对振动的吸收、反射和传播特性不同，每个用户的振动响应模式是独特的。认证过程采用挑战-响应机制：发出随机序列的多种振动类型，同时传感器记录设备振动响应，从而提取用户特征。该方法在商用智能手表上进行了实验，等错误率（EER）仅为1.37%，且首次在低规格商用智能手表上实现可行工作模型。与传统的PIN或图案输入相比，该方法无需用户主动交互，更加便捷且安全性较高。论文详细描述了信号处理、特征提取和分类算法，并讨论了不同佩戴姿势和振动类型对性能的影响。

本文提出一种名为 BEAT-MEV 的新方案，旨在解决区块链中的最大可提取价值（MEV）问题。MEV 是指矿工或验证者通过重排、插入或审查交易来提取额外价值，这破坏了区块链的公平性和去中心化。现有防御方法如阈值加密或可信执行环境存在效率低、依赖同步假设或需要信任单一实体等缺陷。BEAT-MEV 引入了一种“无纪元”的批处理阈值加密方法，其核心思想是：交易在发送时即被加密，并在一个批次中由多个节点共同解密，从而防止单个节点提前获取交易内容以进行抢先交易或三明治攻击。该方案不需要预先定义的时间段（纪元），而是基于聚合阈值实现解密，减少了延迟并提高了吞吐量。论文通过形式化安全模型和实验评估，证明了 BEAT-MEV 在以太坊类区块链上的可行性和性能优势，相比现有方案显著降低了通信开销和计算延迟。该工作适合区块链安全研究人员、Layer2 开发者以及 MEV 相关的协议设计者阅读。

该论文对网络安全事件响应剧本（playbooks）进行了系统性的实证研究。事件响应剧本是组织用于指导人工或自动化系统执行安全对抗措施的结构化操作流程，通常整合了威胁信息与组织特定上下文。尽管实践者对剧本兴趣浓厚，但学术界对其特性缺乏深入探讨。为此，研究者采用混合方法：首先从公开来源收集并分析了1217个剧本（包括结构化与非结构化格式），进行内容编码与主题分析；随后开展了一项包含147名安全从业者的在线问卷调查，量化了剧本定义、使用与共享中的共性模式；最后通过与9名资深安全专家的半结构化访谈，验证并深化了定量发现。主要发现包括：1）组织与从业者对“剧本”的定义存在内在歧义，缺乏统一标准；2）现有剧本无法直接套用，往往需要大量自定义修改，这限制了跨组织共享与自动化执行；3）组织虽然声称“按本操作”，但实际上各自为政，内部定义剧本内容与覆盖的事件响应阶段（如检测、遏制、根除）差异显著。研究贡献在于揭示了剧本管理与标准化中的现实挑战，为未来制定更可互操作的剧本格式与最佳实践提供了实证基础。

该论文是一篇关于Intel SGX（Software Guard Extensions）安全性的系统化知识（SoK）综述。论文系统梳理了自SGX提出以来学术界和工业界发现的各类攻击向量，包括侧信道攻击（如L1TF、Foreshadow、ZombieLoad等微架构攻击）、软件漏洞（如enclave内内存安全缺陷）以及针对SGX远程认证机制的绕过方法。作者将这些攻击按攻击阶段（初始化、执行、持久化）和攻击面（硬件、固件、软件）进行分类，并评估了现有防御措施的有效性。主要贡献包括：（1）构建了SGX攻击分类体系；（2）对已知攻击进行元分析，揭示其根本原因（如共享资源竞争、推测执行泄露）；（3）指出现有防御（如安全区页面缓存锁定、加密内存）无法完全阻止侧信道攻击；（4）提出未来SGX安全研究的方向，包括硬件定制化安全指令和运行时完整性监控。论文适合系统安全研究人员、SGX应用开发者以及可信执行环境（TEE）设计者阅读。

传统智能合约在区块链上执行的成本高昂，尤其是在以太坊等平台上，随着费用飙升，复杂应用变得不切实际。链下执行是一种有前景的解决方案，但现有方案存在诸多缺陷，如昂贵的区块链交互、缺乏数据隐私、资本成本高（因需要锁定抵押品）或仅支持有限的应用场景。本文提出了一种实用的链下智能合约执行协议POSE（Practical Off-chain Smart Contract Execution），通过利用可信执行环境（TEE）池高效执行计算，并能够快速从意外或恶意故障中恢复。POSE提供了强大的安全保证，即使大量参与方被攻破也能保持安全性。作者对概念验证实现进行了效率和有效性评估。该协议适用于需要高吞吐量、低成本和隐私保护的智能合约应用场景，如金融产品、拍卖和游戏等。

该论文是一篇系统化综述（SoK），系统回顾和分析了从网络威胁情报（CTI）报告（如安全厂商的APT报告、漏洞描述等）中自动提取TTP（战术、技术和程序）的相关研究。作者构建了统一的评估框架，将现有方法按照输入形式、技术方法、输出粒度等维度进行分类，并评估了各方法在准确性、可扩展性、可解释性等方面的表现。论文还识别了当前领域的主要挑战：不同CTI报告表述不一致、缺乏标注数据、语义鸿沟、以及评估基准不统一。最后，论文提出了未来研究方向，包括引入多模态数据（如结构化威胁指标）、利用大语言模型提升语义理解、以及构建标准化评估基准。该研究为安全社区提供了全面的技术路线图，帮助研究者了解自动化TTP提取的现状和瓶颈。

该论文通过民族志方法对英国气候运动成员的信息安全实践进行了深入研究。研究者通过参与式观察和访谈，在英国抗议活动和各类活动家环境中收集数据，报告了信息安全相关发现。研究揭示了英国气候运动成员在信息安全决策中面临的四大张力：（1）开放性与保密性之间的根本矛盾，活动家既需要公开表达诉求又必须保护参与者的安全；（2）自治与相互依赖之间的紧张关系，个体安全选择可能影响集体行动；（3）相互冲突的活动家理想（如非暴力、去中心化）如何塑造安全话语；（4）来自不同社会视角的压力——彼此之间、运动外部人士以及对手的审视。总体而言，这些发现揭示了活动家环境中信息安全研究的社会复杂性，并对旨在为活动家设计安全方案的项目提出了方法论质疑。

无人机开源飞控 PX4-Autopilot堆栈溢出漏洞 CVE-2025-15150

MongoDB内存泄漏 CVE-2025-14847(MongoBleed)

1Panel 代理证书验证绕过导致任意命令执行漏洞(CVE-2025-54424)

ModelContext Inspector 未授权访问漏洞(CVE-2025-49596)

llamaindex SQL 注入漏洞(CVE-2025-1750)

Screen 本地权限提升漏洞(CVE-2025-23395)

Zabbix认证后SQL注入漏洞(CVE-2024-42327)

ProjectSend认证绕过漏洞(CVE-2024-11680)

PyTorch库RPC框架反序列化RCE漏洞(CVE-2024-48063)

Grafana认证后DuckDB-SQL注入漏洞(CVE-2024-9264)

SPIP BigUp Unauthenticated RCE(CVE-2024-8517)

Rejetto HFS 远程命令执行漏洞(CVE-2024-39943)

Apache HugeGraph-Server Command Execution In Gremlin（CVE-2024-27348）

Zabbix 后台延时注入(CVE-2024-22120)

CrushFTP 认证绕过漏洞（CVE-2024-4040）

Alert for CVE-2026-21992

Alert for CVE-2025-61884

Alert for CVE-2025-61882

Alert for CVE-2024-21287

Alert for CVE-2022-21500

Alert for CVE-2021-44228

Linux 内核提权 CVE-2026-31431(copy-fail)

Alert for CVE-2026-35273

Exposure of private personal information to an unauthorized actor in Windows RDP allows an unauthorized attacker to disclose information over a network.

Improper neutralization of input during web page generation ('cross-site scripting') in Microsoft Office SharePoint allows an authorized attacker to perform spoofing over a network.

Concurrent execution using shared resource with improper synchronization ('race condition') in Windows Backup Engine allows an authorized attacker to elevate privileges locally.

Improper neutralization of input during web page generation ('cross-site scripting') in Windows Admin Center allows an unauthorized attacker to perform spoofing over a network.

Integer overflow or wraparound in Windows Terminal allows an unauthorized attacker to execute code over a network.

该论文研究视觉语言预训练模型（VLPMs）的对抗攻击可迁移性问题。现有攻击方法普遍采用复杂管道，包括多阶段文本/图像攻击或复合损失函数，但作者发现这些方法存在三个被忽视的问题：不恰当的跨模态交互导致攻击效果不稳定、过度操作（如冗余的多阶段设计）反而降低可迁移性。为此，论文提出简单视觉语言攻击（SimVLA）管道，通过引入跨模态词识别（利用领域知识）来简化攻击流程，仅需一次单模态扰动即可实现高效可迁移攻击。在Flickr30k文本-图像检索等四个数据集和三个下游任务上的实验表明，SimVLA在R@1可迁移性上比SOTA基线提升8.01%-14.71%，同时仅消耗约35.73%的时间和46.26%的最大VRAM。该工作揭示了在对抗攻击中，简单且利用领域知识的设计（如跨模态词识别）比盲目追求复杂操作（如复合损失函数和冗余多阶段设计）更有效。论文源码公开，为后续研究提供了简洁有效的基线。适合对多模态AI安全、对抗攻击可迁移性感兴趣的防御研究者阅读。

该论文针对因果IPD-QIM网络流水印的队列稳定性问题展开研究。在Tor、级联VPN等多跳加密链路上，隧道传输会扁平化数据包长度和协议字段，使得包间延迟（IPD）成为主动流归因的主要载体。因果性要求嵌入器只能延迟数据包而不能提前，因此每个量化索引调制（QIM）对齐操作会在延迟缓冲区中注入非负的驻留时间；无界的驻留会破坏晶格对齐并不可接受地延迟主机连接。以往因果QIM水印在突发流量上能否稳定嵌入主要依赖经验配置，缺乏理论分析。本文将嵌入器建模为固定双晶格等概率比特规则下的反射驻留队列，其中注入是状态相关的（由当前间隔和比特设置），而非外生。通过替换$Y_i=δ_i-r_i$得到代数的Lindley形式恒等式；稳定性由大驻留时繁忙状态的漂移决定，此时有效间隔趋于零，平均注入变为$Δ/4$。在远离临界边界时，对于i.i.d.背景流量，缓冲区稳定当且仅当$μ_d>Δ/4$（即$Δ<4μ_d$）；对于平稳遍历且有限状态马尔可夫调制流量（含瞬时过载），稳定当且仅当时均强度$arρ<1$。结合外生解码下限$Δ\ge cσ_ξ$（$c=4Q^{-1}(ε/2)$），得到工作窗口$Δ\in[cσ_ξ,4arμ_d)$。仿真验证了在$ρ=1$处由均值单独决定的尖锐转变；在四条真实IPD轨迹上（每条模拟链限于单个流），该准则在流局部相关和突发性下给出了正确的稳定性方向，而聚合的跨流均值会高估裕度。这些结果为因果QIM网络流水印提供了可检验的稳定嵌入性准则和量化步长配置基线。

该论文研究了基于记忆的智能体系统中的提示注入攻击风险。随着智能体系统越来越多地通过记忆文件、行为偏好和知识库来维持跨会话的持久状态，这种设计提升了智能体的实用性和自我改进能力，但同时也引入了新的攻击面：恶意指令可以被嵌入持久文件中，从而影响智能体未来的行为。作者在一个沙盒合成工作空间中进行了实验，评估了两个智能体系统——Anthropic Claude Code和OpenAI Codex，并测试了四个模型：Claude Haiku 4.5、Claude Opus 4.7、GPT-5.2和GPT-5.5。结果表明，虽然利用不可信的外部内容让智能体覆盖自身记忆文件较为困难，但已经植入记忆文件中的有效载荷可以成功攻击当前和未来的会话。攻击成功率和有效载荷持久性在不同系统、模型、对抗目标以及多会话攻击序列中表现出显著差异。这些发现表明，持久记忆改变了提示注入的威胁模型，并促使开发保护记忆更新的防御措施，同时保留有用的智能体自适应能力。

本文提出了一种名为“Proof in a Bottle (PiB)”的新型可验证秘密共享方案，旨在解决传统VSS面对量子计算攻击的脆弱性。传统VSS依赖于承诺和绑定，但Shor算法可破解离散对数问题，从而破坏绑定。PiB的关键洞察是：绑定仅在秘密分发的时刻需要，而该时刻可能发生在量子计算机出现之前。因此，方案将可验证性与长期绑定解耦：在“前量子窗口”内，使用标准Pedersen承诺提供零知识、公开可验证的一致性检查；同时，将秘密共享集合的加盐索引哈希锚定到不可变的公共账本（如区块链），从而将该窗口内建立的绑定保留到后量子时代。这种“现在承诺，稍后揭示”的机制保护了今天的诚实交易免受未来量子敌手的攻击。论文的主要贡献是提出了一个实用的过渡方案，使得现有秘密共享系统能够在不依赖后量子密码学的情况下抵御量子威胁。适合密码学研究人员、区块链开发者及安全工程师阅读。

本文从信息论角度研究生成模型（如大语言模型）输出水印的取证能力。传统水印仅用于检测文本是否为机器生成，但本文提出一个更丰富的取证阶梯：归因（将输出追溯到特定用户）、提取（从水印中恢复隐藏载荷）和定位（找出经过编辑后幸存的水印部分）。作者引入“信息轮廓” ν(t)=I(S;X_t|X_{<t})，其中S为水印携带的秘密（用户身份或载荷），X_t为第t个token，该轮廓刻画了每个token对秘密的信息泄露量。主要定理给出了在统计无失真方案下各任务所需样本长度n的紧确界：将一段文本归因至N个用户之一需Θ(log N / h)个token，提取ℓ位载荷需Θ(ℓ/h)个token，其中h为平稳遍历信源的熵率。这一界限是通过精确对齐的熵率定律实现的，优于传统的碰撞计数分析。同时，本文揭示了两个固有间隙：一个Θ(log N) token窗口内文本被证明是机器生成但无法归因，以及分辨率与定位不确定度之间的矛盾。实验在GPT-2、Pythia-410M和Qwen2.5上验证了理论常数。该工作为水印取证提供了统一信息论框架，有助于设计更可靠的溯源与隐私保护机制。

本文针对基于IoMT的远程老年人护理系统中敏感健康数据持续流出的安全问题，提出了一种名为Secure Edge Gateway (SEG) 的集成安全架构。研究背景指出，现有安全架构未能同时解决三个相互依赖的挑战：GDPR合规的边缘层假名化、老年人特定的零交互可用性（作为架构约束），以及集成STRIDE威胁验证的统一设计。SEG框架通过软件仿真进行验证，核心组件包括ESP32-WROOM-32住宅网关，实施MAC地址白名单、HMAC-SHA256加密假名化（在网络传输前）、AES-128-CBC有效载荷加密和TLS 1.3传输安全，符合GDPR第25条和第32条。验证方法包括全STRIDE威胁建模（覆盖所有六类威胁）、攻击树分析、GDPR合规映射（九项监管义务）以及根据第35条的数据保护影响评估（DPIA）。实验结果表明，与纯云系统相比，边缘处理实现了低于50毫秒的响应延迟（云系统为200-700毫秒），MQTT比HTTP能耗低6-8%。主要贡献在于证明了在资源受限的IoMT老年人护理部署中，GDPR合规性和运营效率是互补而非竞争目标。适合关注医疗物联网安全、隐私合规及边缘计算的安全研究人员和架构师阅读。

本文提出 EXP-SEC 框架，旨在为基于深度学习的网络入侵检测系统（DL-based NIDS）生成的告警提供可解释性，使安全运营中心（SOC）的分析师能够理解告警背后的决策依据。研究背景是：现有DL-based NIDS虽然检测精度高，但缺乏可解释性，安全分析师难以验证或调试告警，导致信任度不足。核心问题是如何在保持解释质量的同时，匹配安全分析师基于流量特征和攻击模式的领域知识。EXP-SEC包含三个主要模块：（1）取证模块：从告警相关联的网络流量中隔离出可疑的数据包或流，定位引发告警的关键证据；（2）解释模块：采用可处理复杂特征依赖的机制，允许特征被划分成可能重叠的分组，并区分不同分组的重要性，从而生成更细粒度的解释；（3）多阶段映射模块：将解释模块输出的基于特征/分组的解释转化为适合安全分析师处理的领域特定解释（例如，直接指出“该连接使用了异常的端口组合”等）。实验使用多个最新的DL-based NIDS进行评测，结果表明：在分组级别和考虑重叠的解释效用指标上，EXP-SEC显著优于现有最佳解释框架xNIDS；在常规特征级别的指标（如描述准确性、稀疏性和稳定性）上，两者表现相近。此外，论文通过一个实际DL-based NIDS案例，展示了EXP-SEC输出的安全分析师友好型解释格式。该研究适合从事NIDS可解释性、安全运维自动化的研究人员及SOC技术负责人阅读。

本文提出 AutoTrace，一个基于智能体（agentic）的流水线，用于从漏洞修复补丁中定位触发器（trigger），即导致脆弱程序状态转变为具体不安全操作的语句。该问题比二元漏洞检测更难，因为答案需要跨过程（interprocedural）的因果推理：在大量真实CVE中，触发语句往往位于修补函数之外的多个调用层级，超出了静态规则集和模式匹配语言模型的能力范围。AutoTrace 通过逐层探索代码属性图（Code Property Graph），由LLM代理决定下一步搜索方向，同时使用确定性可接受门（admissibility gates）来确定报告触发器前需要哪些证据。代理从不自行接受触发器；每个报告的触发器都有来自图中显式证据的支持，因此该流水线既能覆盖过程内也能覆盖过程间的漏洞，而不依赖于无根据的模型判断。在完整的InterPVD基准上，AutoTrace达到了75.0%的VulnHit和80.8%的FuncHit，超越了先前最先进的方法。基于相同的机制，作者构建了SinkTrace-Bench数据集，该数据集将每个漏洞暴露为从攻击者可控输入到危险操作的源到汇（S2S）因果链，源自匹配的脆弱和修补程序状态。它包含1542个经过验证、完美平衡的脆弱/安全样本，标签保真度经过专家注释审核。对前沿LLM的基准测试表明，即使最强的模型也难以区分这些匹配对，暴露了触发器定位所针对的因果推理差距。论文提供了完整的工件，适合安全研究人员、漏洞缓解工程师以及AI辅助代码分析开发者阅读。

OpenClaw 在 2026.6.5 之前版本中存在授权绕过漏洞，位于节点执行批准功能中。由于网关和节点环境配置的不一致，低信任调用者可以通过利用不同的环境设置，执行超出其授权范围的持久化或操作命令。攻击者能够绕过预期授权，实现任意代码执行或系统控制。CVSS 8.8，影响机密性、完整性和可用性，攻击向量为网络，攻击复杂度低，需要低权限。该漏洞无需用户交互，且作用域未变更。目前无已知在野利用或KEV收录。建议所有用户立即升级至2026.6.5或更高版本，并限制对受感染节点的网络暴露，以减少攻击面。

Argo Workflows is an open source container-native workflow engine for orchestrating parallel jobs on Kubernetes. Prior to 3.7.15 and 4.0.6, the allow-list fix for CVE-2026-31892 is incomplete because workflow/util/merge.go ValidateUserOverrides and SanitizeUserWorkflowSpec walk only the top-level fields of WorkflowSpec via reflection, and WorkflowSpec.ArtifactGC is allow-listed wholesale; the stru

Activepieces is an open source AI workflow automation platform. Prior to 0.82.0, the git-sync feature clones a user-configured Git repository into a temporary directory on the server and then writes flow, table, and connection state into it before pushing back, and two separate weaknesses allowed those writes to escape the intended workspace and land on arbitrary paths on the host filesystem: Git'

Activepieces is an open source AI workflow automation platform. Prior to 0.83.0, the /v1/step-files/signed download endpoint verified the supplied JWT against the shared signing secret but did not check the token's audience, and combined with a missing null-check on the decoded fileId, this allowed any caller holding any valid Activepieces JWT (including a freshly created user's own access token)

Frogman provides headless PBX control through MCP and HTTP API. Prior to 1.6.3, PERM_READ access was sufficient to call fm_list_managers, fm_list_pinsets, fm_show_context, fm_get_mcp_config, fm_backup_status, fm_whos_calling, fm_run_saved_query, and fm_diagnose_trunk, exposing AMI manager secrets, outbound dial PINs, full Asterisk dialplan context, root SSH connection commands, backup artifact pat

Frogman provides headless PBX control through MCP and HTTP API. Prior to 1.6.2, fm_dialplan_apply accepted template parameters including greeting, dest, url, extension, code, and file, and Tools/DialplanApply.php wrote Dialplan/Templates.php output to extensions_custom.conf while only Dialplan/TemplateBase.php:38-42 sanitized contextName(), allowing a PERM_WRITE caller using confirm:true to inject

Frogman provides headless PBX control through MCP and HTTP API. Prior to 1.6.2, Frogman stored API tokens generated by Tools/CreateApiToken.php:33-36 as raw bin2hex(random_bytes(32)) strings in oc_api_tokens, and Frogman.class.php:78 authenticated the X-Frogman-Token header by comparing it with the stored raw value, allowing database read access to recover reusable active tokens at their assigned

Frogman provides headless PBX control through MCP and HTTP API. Prior to 1.6.2, fm_reset_password in Tools/ResetPassword.php:48-53 returned a plaintext password and fm_add_extension in Tools/AddExtension.php:172 returned a plaintext secret; Frogman.class.php:2207-2211 used auditOutcome to JSON-encode those responses into oc_audit_log.detail, allowing any PERM_READ caller with access to fm_audit_se

BigBlueButton is an open-source virtual classroom. Prior to 3.0.21, bbb-web checksum validation could be bypassed when a presentationUploadExternalUrl parameter was supplied to API request handling in CreateMeeting.java and ValidationService.java, allowing a user to send valid requests to some endpoints without a checksum. This issue is fixed in version 3.0.21.

BigBlueButton is an open-source virtual classroom. Prior to 3.0.23, the presentation URL validation did not properly restrict access to site local and link local addresses. The redirect following logic now pins resolved IPs. This issue is fixed in version 3.0.23.

BigBlueButton is an open-source virtual classroom. Prior to 3.0.21, bbb-web generated conference sessionToken values with insufficiently secure randomness in bbb-common-web/src/main/java/org/bigbluebutton/api/Util.java and bigbluebutton-web/grails-app/controllers/org/bigbluebutton/web/controllers/ApiController.groovy, allowing a session user to predict other users' conference session tokens and im

Dasel is a command-line tool and library for querying, modifying, and transforming data structures. From 3.0.0 until 3.10.1, the escape sequence handler in (*Tokenizer).parseCurRune in selector/lexer/tokenize.go increments past a trailing backslash in a quoted string such as "\ or '\ and then reads p.src[pos] without a bounds check, allowing attacker-controlled selector strings to trigger a Go ind

Dasel is a command-line tool and library for querying, modifying, and transforming data structures. From 3.0.0 until 3.10.1, the selector lexer matchRegexPattern closure in (*Tokenizer).parseCurRune in selector/lexer/tokenize.go loops while tokenizing an unterminated regex literal such as r/ because peekRuneEqual returns false after the end of input, allowing attacker-controlled selector strings t

dbt-mcp is a Model Context Protocol server for interacting with dbt. Prior to 1.17.1, DbtMCP.call_tool() in src/dbt_mcp/mcp/server.py logged the raw arguments dictionary at INFO level before each tool call and at ERROR level on exceptions, and configure_file_logging() wrote those records to dbt-mcp.log when DBT_MCP_SERVER_FILE_LOGGING=true, preserving sensitive sql_query, vars, and node_selection

dbt-mcp is a Model Context Protocol server for interacting with dbt. Prior to 1.17.1, DefaultUsageTracker.emit_tool_called_event() in src/dbt_mcp/tracking/tracking.py serialized every MCP tool call's complete arguments dictionary and sent it through dbtlabs_vortex.producer.log_proto without redaction, including sql_query from show, vars from run, build, and test, and node_selection from compile, w

dbt-mcp is a Model Context Protocol server for interacting with dbt. Prior to 1.17.1, _run_dbt_command() in src/dbt_mcp/dbt_cli/tools.py appended unsanitized node_selection and resource_type values to the dbt subprocess argument list, allowing an MCP client to inject dbt global flags such as --profiles-dir, --project-dir, and --target into subprocess.Popen even though shell=False prevents shell me

Manyfold is an open source, self-hosted web application for managing a collection of 3d models, particularly focused on 3d printing. From 0.96.0 until 0.140.0, authenticated users can rename uploaded files with path traversal sequences because app/models/model_file.rb uses the user-controlled filename in File.join(model.path, filename) without sufficient sanitization, allowing files to be moved or

HireFlow is a web-based interview management system for managing candidates, scheduling interviews, and tracking hiring progress. In 1.2 and earlier, app.py assigns a hard-coded Flask secret_key used to sign session cookies, allowing unauthenticated attackers who know the public source value to forge cookies containing role=admin and user_id values and bypass authentication. The advisory lists ver

Emlog is an open source website building system. In 2.6.13 and earlier, the article publishing interface stores a path-traversal template parameter from api_controller.php without validation, and log_controller.php later checks file_exists and calls include View::getView($template), allowing an authenticated author to include an arbitrary local .php file when an article is viewed. No fixed version

Emlog is an open source website building system. In 2.6.13 and earlier, the admin backend user search module's keyword parameter from admin/user.php is processed with addslashes but not HTML-escaped before being rendered into the value attribute in admin/views/user.php, allowing reflected cross-site scripting in an administrator's backend session. No fixed version is currently identified.

The Apify MCP server enables AI agents to extract data from websites using ready-made scrapers, crawlers, and automation tools available on the Apify Store. Prior to 0.9.21, the fetch-apify-docs tool in src/tools/common/fetch_apify_docs.ts validates allowlisted documentation domains with String.startsWith() rather than URL hostname comparison, allowing attacker-controlled URLs such as `https://doc

HAPI FHIR is a complete implementation of the HL7 FHIR standard for healthcare interoperability in Java. Prior to 6.9.7, the FHIRPathEngine implementation passes user-controlled regular expressions from matches(), matchesFull(), and replaceMatches() to Java regex operations without effective timeouts, allowing catastrophic backtracking and denial of service. This issue is fixed in version 6.9.7.

zrok is software for sharing web services, files, and network resources. From 0.4.23 until 2.0.3, `zrok2 copy` stores attacker-controlled WebDAV or zrok drive paths such as /../outside.txt in the source inventory and passes them to FilesystemTarget.WriteStream, allowing the sync pipeline to write files outside the selected local filesystem destination root. This issue is fixed in version 2.0.3.

zrok is software for sharing web services, files, and network resources. Prior to 2.0.3, zrok's Python SDK ProxyShare Flask proxy route accepts an absolute URL in the request path and passes it to urllib.parse.urljoin, allowing the requested path to replace the configured target host and causing requests.request to return a server-side response from an attacker-chosen URL. This issue is fixed in v

stoatchat before 0.14.0 contains a server-side request forgery (SSRF) vulnerability that allows unauthenticated network-accessible attackers to bypass the DNS-based IP blocklist by exploiting incomplete address validation in the url_is_blacklisted function, which inspects only the first resolved address while the underlying HTTP client iterates all cached addresses.

Squid is a caching proxy for the Web. Prior to 7.6, due to an improper input validation bug in cache digest reply handling (peerDigestSwapInMask in src/peer_digest.cc), Squid is vulnerable to a heap-based buffer overflow: a cache digest's on-the-wire size may be larger than the mask_size declared within the digest, so a trusted peer sending a maliciously crafted reply to a cache_digest request mes