LightRAG: CORS Wildcard + Credentials Enables Any-Origin Credentialed Requests
CVE-2026-61736
### Summary The server defaults to CORS_ORIGINS=* combined with allow_credentials=True. Starlette's CORSMiddleware echoe
2026-07-21 归档
今日共收录 1301 条安全情报，包含 465 个 CVE，462 篇安全通告，以及 91 篇研究论文。
← 返回归档列表SonicWall SMA1000 flaws exploited as zero-days to push custom malware
BleepingComputer 报道称，SonicWall SMA1000 VPN 设备存在两个近期披露的漏洞，这些漏洞在零日攻击中被利用了数周。攻击者利用这些漏洞在脆弱的 VPN 设备上安装自定义恶意软件，可能用于后续的勒索软件部署或其
Your Compiler is Backdooring Your Model: Understanding and Exploiting Compilation Inconsistency Vulnerabilities in Deep Learning Compilers.
本研究首次系统性地揭示了深度学习编译器中的编译不一致性漏洞（Compilation Inconsistency Vulnerability）。作者发现，即使是官方、未经修改的深度学习编译器，也可能在模型编译过程中静默改变模型语义，从而引入隐
Caddy Defender trusted proxy client IP bypass
CVE-2026-46415
The Caddy Defender plugin is a middleware for Caddy that allows users to block or manipulate requests based on the clien
Ivanti Endpoint Manager Mobile代码注入漏洞
Ivanti Endpoint Manager Mobile（原MobileIron Core）是一款企业级移动设备管理（MDM）解决方案，用于集中管理移动设备、应用及安全策略。根据知道创宇Seebug漏洞库（SSVID-99967）报告，
TOPSEC Firewalls - Remote Exploit (ELIGIBLEBACHELOR)
天融信（TOPSEC）防火墙存在一个远程利用漏洞，代号 ELIGIBLEBACHELOR。攻击者可能通过未公开的远程攻击向量，在无需身份认证的情况下利用该漏洞，实现对受影响防火墙的完全控制，包括执行任意命令、篡改规则或窃取敏感数据。由于防火
Fortigate Firewalls - Remote Code Execution (EGREGIOUSBLUNDER)
Fortigate Firewalls - Remote Code Execution (EGREGIOUSBLUNDER)
Yokogawa YFGW410 gateway
Yokogawa YFGW410 gateway
Mistune renderers/html.safe_url: HARMFUL_PROTOCOLS list misses legacy and chained schemes that historically chain to `javascript:` execution
CVE-2026-59929
## Summary **Type:** URL-scheme allowlist gap. The `safe_url` filter only blocks the four schemes `javascript:`, `vbscr
Crafter: Facial Feature Crafting against Inversion-based Identity Theft on Deep Models.
随着边缘设备（如手机）计算能力提升和隐私要求日益严格，越来越多的深度学习应用选择在边缘端预处理敏感原始数据，再将提取的特征传输到云端进行后续处理。面部识别服务是典型例子，它需要从不同个人的面部图像中提取特征。为了防止身份信息在传输或云端被窃
Prrr: Personal Random Rewards for Blockchain Reporting.
该论文研究了区块链智能合约中依赖外部报告的问题。现有机制在安全性与性能之间存在权衡：依赖少量受信报告者会引入中心化风险，而允许开放报告则导致链上报告数量过多。作者指出，根本原因在于对称奖励设计，即对所有报告一视同仁。论文证明，任何对称奖励机
CrowdStrike and Zscaler Bring Continuous Identity to Zero Trust Access
CrowdStrike与Zscaler宣布合作，将连续身份验证与零信任访问相结合，提供更安全的企业访问控制。该合作旨在整合CrowdStrike的Falcon平台（包括端点检测与响应EDR能力）与Zscaler的云安全平台，实现基于身份和上
CrowdStrike Announces Continuous Identity for AI Agents
2026年7月21日，CrowdStrike宣布推出面向AI代理的持续身份验证解决方案（Continuous Identity for AI Agents）。该方案旨在解决AI代理在自主决策和操作过程中带来的身份与访问管理挑战，防止身份冒充
Citrix NetScaler 内存泄漏(CVE-2025-5777)
CVE-2025-5777
Citrix NetScaler 内存泄漏(CVE-2025-5777)
Axios: Fetch adapter `ReadableStream` uploads bypass `maxBodyLength`
## Summary axios’ fetch adapter does not enforce `maxBodyLength` for live WHATWG `ReadableStream` request bodies whose
Webmin 2FA requirement bypass
CVE-2026-42210
Webmin is a web-based system administration tool for Unix-like servers. Prior to version 2.640, for Webmin accounts that
Bluetooth: L2CAP: cancel pending_rx_work before taking conn->lock
CVE-2026-64206
In the Linux kernel, the following vulnerability has been resolved: Bluetooth: L2CAP: cancel pending_rx_work before tak
PLANET VDR-300NU ADSL Router - 未授权修改DNS
PLANET VDR-300NU ADSL Router - 未授权修改DNS
Acknowledgements
Acknowledgements
多款Huawei路由器信息泄露漏洞
多款Huawei路由器信息泄露漏洞