n8n: Bypass "Allowed HTTP Request Domains" Credential Restriction in Multiple AI and LLM Nodes
## Impact The credential "Allowed HTTP Request Domains" allowlist was intended to restrict which hosts a credential's s
2026-07-23 归档
今日共收录 1422 条安全情报，包含 546 个 CVE，469 篇安全通告，以及 113 篇研究论文。
← 返回归档列表Nginx远程代码执行漏洞分析与利用（CVE-2026-42530）
CVE-2026-42530
Nginx远程代码执行漏洞分析与利用（CVE-2026-42530）
wp2shell hits WordPress: detecting pre-auth RCE from plugin drop to command execution
We ran the wp2shell WordPress RCE chain end-to-end with Elastic Defend. Detection rule walkthrough, IOCs, and hunt guida
Ubuntu snap-confine Flaw Could Give Local Users Root on Default Desktop Installs
CVE-2026-8933
Cybersecurity researchers have disclosed details of a new local privilege escalation (LPE) vulnerability in snap-confine
Adobe Acrobat Extension Flaw Let Malicious Sites Read WhatsApp Web Data
CVE-2026-48294
Cybersecurity researchers have disclosed details of a now-patched vulnerability chain in the Adobe Acrobat Chrome extens
Hackers Exploit Windmill Flaw to Read Arbitrary Server Files Without Authentication
CVE-2026-29059
A high-severity security flaw impacting open-source developer platform Windmill has come under active exploitation in th
Fourth SharePoint Vulnerability Exploited in Past Month’s Wave of Attacks
CVE-2026-50522
CVE-2026-50522 is being exploited by threat actors to steal machine keys and retain long-term access. The post Fourth Sh
Rate-Distortion Function for Encrypted Traffic Side-Channel Defense
该论文针对加密流量旁道防御中的参数选择问题，提出了一个可证明、可计算的理论基线——旁道率失真函数。传统方法依赖经验调参，缺乏对“给定服务质量成本预算D时，在持续观测下泄露率能降到多低”这一根本问题的回答。作者将语义标签序列X^n作为源，防御
The Chronos Vulnerability: A Taxonomy of Temporal Persistence and Memory-Based Deception in Agentic AI
本文提出了一个针对自主智能体（autonomous agents）的新型安全威胁类别——'Chronos漏洞'，并对其进行了系统化定义与分类。随着AI从无状态生成模型向有状态、自主执行长期任务的多步骤智能体进化，引入的记忆持久化机制（如长期
Isolation Failure From Shared Storage: Characterizing and Exploiting Page-Cache SCA Leakage Across Containers and VMs
该论文研究现代云平台中容器和虚拟机（VM）之间通过共享页面缓存（page cache）产生的微架构时序侧信道泄漏问题。云平台为提升性能，通常让租户共享主机硬件资源，同时通过软件隔离（如容器、gVisor、Kata Containers、QE
CutBackdoor: A Circuit Cut Triggered Backdoor Attack on Variational Quantum Algorithms
该论文提出了一种名为 CutBackdoor 的新型后门攻击方法，针对变分量子算法（VQA）的供应链安全。VQA 是近期量子计算的主流范式，通过参数化量子电路与经典优化结合，广泛应用于量子化学、组合优化和量子机器学习。由于实际部署中量子电路
PTSan: A Practical Memory Safety Sanitizer for C/C++ with Pointer-Object Authority
该论文提出了一种名为 PTSan 的 LLVM 内存安全消毒器，旨在解决 C/C++ 语言中内存错误（如缓冲区溢出、释放后使用等）占主导地位的漏洞问题。现有的位置基准工具（如 LLVM 的 ASan）虽然实用，但仅能检测堆区域内的越界访问，
Shared Vulnerabilities in Robustness-Optimized Defenses: One Breach Exposes the Family
该论文揭示了鲁棒性优化防御（如对抗训练和对抗净化）中存在一种新的安全风险：共享脆弱性。尽管这些防御方法在单独评估时能显著提升模型对对抗样本的鲁棒性，但一旦某一代表性防御被有效攻破，整个同类防御家族可能面临暴露。为了区分真正的可迁移性、失真导
The Duality of Information Flow: Reconciling Robust Downgrading with Non-Interference
该论文探讨了程序安全中非干扰属性（non-interference）与信息降级（downgrading）之间的经典矛盾。非干扰是机密性和完整性的最高安全保证，但严格的非干扰会阻止大多数实际程序完成其功能，因为它们需要泄露或修改信息。传统方法
Physical Time-Lock Puzzles
传统时间锁谜题通过强制要求串行计算步骤来实现对加密秘密的延迟访问，但基于软件的实现无法从根本上限制单个步骤的物理执行速度，因此容易受到硬件加速和算法优化的攻击。现实中，现有方案更像是“步骤锁”而非真正的“时间锁”，在数十年难以预测的硬件进步
SATLOCK: Handover-Coupled Scheduling for Weather-Resilient Quantum Key Distribution over LEO Constellations
该论文研究低地球轨道（LEO）卫星星座中的量子密钥分发（QKD）路由问题。与经典路由不同，QKD路由面临三个独特挑战：卫星切换导致连续调度决策耦合、随机云层覆盖可能使地面链路静默失效、以及有限密钥效应使得短时低仰角链路完全不可用。为此，作者
Constant-time decoding of Gabidulin codes and their generalizations with application to RQC
本文提出了加标Gabidulin码（AG码）的首个恒定时间解码算法。Gabidulin码是秩度量下Reed-Solomon码的模拟，被用于RQC、Loidreau等高效的基于秩的密码系统中，但此前缺乏恒定时间实现，这在实际密码系统开发中至关
JANUS: Foreseeing Latent Risk for Long-Horizon Agent Safety
智能体安全正从内容审核转向在工具型智能体采取行动前预防操作失败。本文提出 Janus，一个面向长周期智能体安全的预见性框架。Janus 通过多智能体模拟合成多样化轨迹，并学习一个共享策略，包含两个耦合任务：预测任务（预测安全相关的未来状态）
Adversarial Frontiers: Minimum-Norm Attack Ensembles for Robustness Evaluation
该论文指出当前对抗鲁棒性评估的三大局限性：1）单一扰动预算（ε）下的排名不稳定，因为不同模型的鲁棒性-扰动曲线可能相交或以不同速率衰减；2）现有攻击集成（如AutoAttack）无法保证最优性，与最坏情况性能之间存在未知差距；3）固定攻击配
GhostPrompt: Cross-Image Adversarial Prompt for Vision-Language Models
视觉语言模型（VLM）在处理图像和文本时存在对抗攻击的脆弱性。现有对抗攻击大多针对特定图像优化对抗扰动，导致攻击提示（adversarial prompt）无法跨图像迁移，限制了攻击效果。本文首次提出“跨图像可迁移对抗提示”的研究视角，并设