本文披露了 RADIUS 协议中一个存在数十年的协议级漏洞。RADIUS 是网络设备认证、授权和计费（AAA）的事实标准轻量级协议，广泛用于路由器、工业控制系统、VPN、企业 Wi-Fi（包括 Eduroam）、Linux PAM 以及移动漫游和 Wi-Fi 分流等场景。攻击者作为中间人，可在不掌握 RADIUS 客户端与服务器之间共享密钥的情况下，将服务器返回的 Access-Reject 报文转换为 Access-Accept 报文，从而以任意用户身份完成认证，或为自己分配任意网络权限。该攻击利用了 RADIUS 自定义的基于 MD5 选择前缀碰撞（chosen-prefix collision）的报文认证构造：攻击者构造具有相同 Response Authenticator 的 Access-Accept 和 Access-Reject 报文，使服务器对恶意修改后的报文仍能通过认证校验。作者优化了 MD5 选择前缀碰撞算法，在线上环境中可在 5 分钟内生成碰撞，并将碰撞块嵌入会被服务器回显的 RADIUS 属性中，从而在不影响协议交互的前提下完成攻击。他们在多种流行的 RADIUS 实现上演示了该攻击的有效性。研究的核心贡献是首次系统性地证明 RADIUS over UDP 的认证机制在密码学上存在可利用的弱点，并呼吁厂商和 IETF 弃用 RADIUS over UDP，强制要求 RADIUS 运行在具备现代密码学隐私和完整性保障的安全通道（如 TLS/DTLS）之上。本文适合网络安全协议研究人员、RADIUS 实现厂商、AAA 基础设施运维人员以及关注协议安全演进的从业者阅读。

FreeRDP before 3.29.0 contains a buffer over-disclosure vulnerability in the gateway WebSocket transport (libfreerdp/core/gateway/websocket.c). The client's Pong reply reuses a fixed 1024-byte response stream whose length is not sealed to the actual received Ping payload, so a malicious gateway/WebSocket peer sending a non-empty Ping control frame causes the client to reply with an overlong Pong t

FreeRDP before 3.29.0 fails to enforce the RESPONSE_SIZE_LIMIT when processing Transfer-Encoding: chunked HTTP responses in http_response_recv_body(). Attackers controlling a malicious RD Gateway endpoint can send oversized chunked response bodies to exhaust client memory resources without triggering the configured size limit.

本文研究检索增强生成（RAG）系统中的成员推断攻击（Membership Inference Attack, MIA）问题。RAG 通过将外部知识库中的文档检索结果注入到大语言模型的上下文中，实现无需调整模型参数的接地生成。尽管不更新权重避免了通过模型参数泄露训练数据，但检索到的文档本身可能被攻击者利用，构成新的隐私泄露面。已有的成员推断和数据提取方法通常依赖越狱提示或精心构造的非自然查询，容易被 RAG 系统中常见的查询改写技术检测或拦截。为此，作者提出一种名为“审讯攻击”（Interrogation Attack, IA）的新型成员推断技术，专门针对 RAG 数据存储中的目标文档。其核心思想是构造自然语言查询，使得只有目标文档出现在上下文中时该查询才能被正确回答，从而以黑盒方式推断文档是否在数据库中。实验表明，该攻击仅需 30 次查询即可完成单文档推断，且隐蔽性显著优于现有方法：常规检测器对已有攻击生成的对抗提示的识别频率是对 IA 生成提示的约 76 倍。在多种 RAG 配置下，IA 在 1% 假阳性率下的真阳性率（TPR@1%FPR）相比先前推断攻击提升 2 倍，而单文档推断成本低于 0.02 美元。该研究揭示了 RAG 系统中“通过上下文泄露”的新隐私风险，凸显了检索端防御的重要性。适合关注 LLM 隐私、RAG 安全及对抗机器学习的蓝队研究人员阅读。

本文针对数字界面中日益泛滥的欺骗性模式（deceptive patterns）提出了一种自动化检测框架 AutoBot。欺骗性模式利用用户的认知偏差和心理弱点，诱导其做出非本意的决策，常见于各类数字平台，对用户权益构成威胁。现有缓解措施主要来自法律和技术两个角度，但缺乏可用且可扩展的解决方案。AutoBot 的核心创新在于仅凭网站截图即可完成欺骗性模式的识别与定位，无需依赖底层 HTML 代码，这使得其适用于更广泛的现实场景（如难以获取源码的页面或动态渲染内容）。框架采用两阶段流水线：第一阶段利用专门设计的视觉模型分析网站截图，识别交互元素并提取文本特征；第二阶段借助大型语言模型（LLM）理解这些元素的上下文语义，从而判断是否存在欺骗性模式。此外，作者还利用 AutoBot 构建了一个合成数据集，用于将教师大语言模型的知识蒸馏到更小的语言模型中，以降低部署成本并提高推理效率。实验结果表明，AutoBot 在网页欺骗性模式检测任务上取得了 0.93 的 F1 分数，证明了其有效性和实用性。该研究填补了自动化、可扩展检测工具的空白，为 Web 利益相关方（如平台运营者、安全团队、浏览器插件开发者）提供了一种高效缓解在线欺骗性模式的解决方案。读者包括用户界面研究人员、安全分析师、人机交互学者以及关注在线信任与安全的从业者。

FreeRDP before 3.29.0 fails to enforce the RESPONSE_SIZE_LIMIT when processing Transfer-Encoding: chunked HTTP responses in http_response_recv_body(). Attackers controlling a malicious RD Gateway endpoint can send oversized chunked response bodies to exhaust client memory resources without triggering the configured size limit.

FreeRDP before 3.29.0 contains a buffer over-disclosure vulnerability in the gateway WebSocket transport (libfreerdp/core/gateway/websocket.c). The client's Pong reply reuses a fixed 1024-byte response stream whose length is not sealed to the actual received Ping payload, so a malicious gateway/WebSocket peer sending a non-empty Ping control frame causes the client to reply with an overlong Pong t

### Summary The `subtitlesHandler` endpoint (`GET /api/media/subtitles`) accepts two user-controlled query parameters: `path` and `name`, both of which are used in filesystem operations without sanitization, creating two independent path traversal vectors. The primary vector is the `path` parameter: it is passed directly to `idx.GetRealPath()` without calling `SanitizeUserPath()`, allowing an at

Ivanti Endpoint Manager Mobile代码注入漏洞

TOPSEC Firewalls - Remote Exploit (ELIGIBLEBACHELOR)

Fortigate Firewalls - Remote Code Execution (EGREGIOUSBLUNDER)

@better-auth/scim (a better-auth plugin) versions >= 1.4.0-beta.27 through = 1.7.0-beta.0 through <= 1.7.0-beta.9 contain an authorization bypass. SCIM token issuance did not reject provider IDs already used by existing SSO, SAML, OIDC, generic OAuth, or social account providers, and the same logical provider ID was used for both SCIM provider configuration and account ownership. An authenticated

FreeRDP before 3.29.0 (affected versions <= 3.28.0) contains multiple TLS certificate identity validation weaknesses in tls_verify_certificate(), tls_match_hostname(), and x509_utils_get_dns_names(). Because FreeRDP performs custom Common Name and DNS SAN string matching instead of using OpenSSL's length-aware identity validation APIs, it (1) truncates DNS SAN values at embedded NUL bytes (accepti

The Single Sign On For TNG plugin for WordPress is vulnerable to Authentication Bypass via unauthenticated password reset in all versions up to, and including, 2.0.0. This is due to the `ssoprocess_ajax()` function — registered on `wp_ajax_nopriv_ssoprocess_ajax` and therefore reachable without authentication — accepting an attacker-supplied `email` parameter with the `setnewpassword` operation an

## Summary The vault-secrets-webhook reads the `vault.security.banzaicloud.io/vault-addr` annotation from any ConfigMap or Secret being admitted and uses it as the Vault server address without any validation or allowlist. When a ConfigMap or Secret contains a value prefixed with `vault:`, the webhook's admission handler synchronously calls the Vault API at the attacker-supplied address from insid

2026年8月，CrowdStrike 与 Zscaler 宣布合作，将连续身份验证能力与零信任访问架构深度集成。该合作旨在解决传统零信任模型下仅基于静态策略或单一登录验证的不足，通过持续评估用户身份、设备健康状态和行为风险，实现对每一次访问请求的动态授权。CrowdStrike 的 Falcon 平台（EDR/终端检测响应）提供实时的终端威胁情报和风险信号，Zscaler 通过其 Zero Trust Exchange 云平台执行基于身份的访问控制。两者结合后，安全团队可在用户访问应用或资源时，动态感知终端是否遭入侵、是否存在恶意进程，从而自动阻断或隔离高风险访问，并支持从端到端的身份到云访问的全面保护。该产品集成面向企业客户，尤其适用于远程办公、多云环境和零信任架构转型场景。文章未涉及具体攻击事件或漏洞，重点在于介绍两个安全厂商的技术协作。

根据 CrowdStrike 官方博客（2026-08-02 发布）的标题，该公司宣布推出“Continuous Identity for AI Agents”功能。该功能旨在为人工智能代理（AI Agents）提供持续的身份验证与访问控制能力，以应对 AI 代理在自动化工作流中带来的身份安全新挑战。由于原文摘要未提供，具体实现细节、技术架构、集成方式均无法确认。结合行业背景，AI 代理在调用 API、访问数据或执行任务时，传统静态身份认证难以覆盖动态会话场景，连续身份验证（Continuous Identity）通过持续评估上下文、风险和行为，实时调整访问权限，能有效降低身份劫持与横向移动的风险。此公告可能涉及 CrowdStrike Falcon 平台的功能升级，并利用 EDR 数据增强身份安全。但上述背景内容为基于标题的合理推断，并非原文明确提供的事实。该博客未提及任何 CVE、攻击组织、恶意软件家族或具体攻击技术，也未见 IOC。安全团队可关注该功能对 AI 代理身份治理和零信任架构的补充意义。

Citrix NetScaler 内存泄漏(CVE-2025-5777)

Improper Verification of Cryptographic Signature in ueberauth guardian allows an unauthenticated attacker to revoke a victim's session with a forged token. Guardian.revoke/3 in lib/guardian.ex decodes the supplied token with peek/1, which performs no signature verification (it only base64-decodes the JWT header and payload). The resulting unverified claims are forwarded directly to the configured

该论文针对流控制传输协议（SCTP）开展形式化安全分析。SCTP 是一种提供多宿、多流和消息导向传输的传输协议，其两个主要实现已通过 PacketDrill 工具的一致性测试，但一致性测试并非穷尽，近期漏洞 CVE-2021-3772 表明该协议仍存在安全隐患。尽管已有补丁，但协议设计中是否遗留其他缺陷仍是开放问题。作者采用基于形式化方法的严谨路线：首先创建了 SCTP 的 Promela 模型，并根据 RFC 规范及与 RFC 主要作者的咨询，定义了 10 条刻画协议核心功能属性；随后使用 Spin 模型检查器验证模型满足这些属性。接着定义了四种攻击者模型：Off-Path（外部攻击者，可伪造对端的端口和 IP）、Evil-Server（恶意对等方）、Replay（可捕获和重放但不修改报文）、On-Path（完全控制信道）。他们修改了面向传输协议的攻击合成工具 Korg，以支持 SCTP 模型及上述四种攻击者模型。通过攻击合成，共得到 14 个独特的攻击：Off-Path 模型中包含 CVE 漏洞本身，Evil-Server 模型中有 4 个攻击，Replay 模型中有机会性 ABORT 攻击，On-Path 模型中有 8 个连接操纵攻击。作者进一步证明，针对 CVE 提出的补丁在模型和协议属性下消除了该漏洞，且未引入新漏洞。最后，他们识别并分析了 RFC 中的一处歧义，该歧义可能被不安全地解释；他们提出了勘误并证明其消除了该歧义。这项研究系统化地揭示了 SCTP 协议的多种潜在攻击面，验证了现有补丁的有效性，并提供了协议规范改进建议，对传输层安全研究有重要价值。

Allocation of Resources Without Limits or Throttling vulnerability in ueberauth guardian (Guardian.Permissions module) allows a denial of service via BEAM atom-table exhaustion. This vulnerability is associated with program file lib/guardian/permissions.ex and program routines 'Elixir.Guardian.Permissions':encode_permissions!/1, 'Elixir.Guardian.Permissions':encode_permissions_into_claims!/2, 'El

Budibase before 3.38.1 contains a server-side request forgery vulnerability in the REST datasource integration that fails to validate HTTP redirects against the IP blacklist. Attackers with Builder role can configure a REST datasource pointing to an external server that returns a redirect to internal IP addresses, bypassing blacklist protection to access cloud metadata endpoints and internal servi

axios before 0.33.0 contains an incomplete depth-limit bypass in toFormData.js when serializing objects with top-level keys ending in '{}'. Attackers who control object keys and nested values passed to axios form or parameter serialization can trigger a RangeError from JSON.stringify, causing denial of service in the affected request path.

better-auth before 1.6.13 (and pre-release builds 1.7.0-beta.0 through 1.7.0-beta.3) fail to validate the scheme of redirect_uris registered via the deprecated oidc-provider plugin and the mcp plugin (which wraps the same provider). An attacker can register an OAuth client with a javascript: redirect_uri, which the authorization server later returns unchanged in the consent response. If the deploy

axios before 0.33.0 (and 1.x before 1.18.0) can consume inherited properties from nested request option objects when the JavaScript process's Object.prototype has already been polluted by another component. While the top-level merged config uses a null prototype, nested plain objects such as auth and paramsSerializer are cloned into ordinary objects and read without own-property checks. When an ap

axios versions >=1.13.0 (Node.js HTTP adapter) fail to enforce the configured maxBodyLength limit on streamed request bodies when requests are sent with httpVersion: 2. Because Node's HTTP/2 request API does not honor the maxBodyLength option and axios's byte-counting stream wrapper is gated on maxRedirects === 0, an attacker who controls a stream passed to axios can cause the application to trans

axios is vulnerable to read-side prototype-pollution gadgets that can alter request construction when Object.prototype has already been polluted by a separate vulnerability or dependency. In the bodyless method aliases (axios.get(), axios.delete(), axios.head(), axios.options()), inherited data is read via (config || {}).data before config normalization, causing an attacker-controlled body to be s

axios versions 1.15.0 before 1.18.0 fail to recognize 0.0.0.0 as a loopback address in shouldBypassProxy.js, allowing requests to 0.0.0.0 to bypass NO_PROXY rules. Attackers can supply 0.0.0.0 URLs to route requests through configured proxies, potentially exposing local services when the proxy can reach the destination.

axios versions from 0.28.0 before 0.33.0 and from 1.0.0 before 1.18.0 contain uncontrolled recursion in formDataToJSON (exposed as axios.formToJSON() and used internally when serializing FormData with Content-Type: application/json). When an application passes attacker-controlled FormData field names, a field name with thousands of nested bracket-delimited segments causes unbounded recursion in bu

Wazuh 5.0.0-beta1 (fixed in 5.0.0-beta3) does not validate or override the cluster_name and cluster_node fields in inventory-sync Start FlatBuffer messages, while validating only the agentid against the authenticated agent identity. This allows a low-privileged enrolled agent to spoof cluster attribution in indexed inventory and vulnerability documents by forging wazuh.cluster.name values and infl

@better-auth/sso versions before 1.6.21 contain multiple authentication bypass vulnerabilities in SSO provider handling that allow attackers to sign in as arbitrary users. Attackers can exploit domain verification parsing mismatches, orphaned provider accounts, unbound SAML assertions, or reflected XSS on logout endpoints to gain unauthorized session access and account takeover.

better-auth versions after v0.0.2 and before 1.1.16 contain a reflected cross-site scripting (XSS) vulnerability on the /api/auth/error page, where the value of the 'error' URL parameter is reflected as HTML without proper neutralization. An attacker who coerces a user into visiting a specially-crafted URL can execute arbitrary JavaScript in the context of the user's browser. The issue is fixed in

axios in a Node.js deployment using the HTTP adapter can route requests through an attacker-controlled proxy. axios hardens merged request configuration by creating a null-prototype object, but request interceptors run after the merge; a common immutable interceptor pattern such as {...config} or Object.assign({}, config) converts the hardened config back into a regular object. axios then dispatch

FreeRDP before 3.29.0 (affected versions <= 3.28.0) contains multiple TLS certificate identity validation weaknesses in tls_verify_certificate(), tls_match_hostname(), and x509_utils_get_dns_names(). Because FreeRDP performs custom Common Name and DNS SAN string matching instead of using OpenSSL's length-aware identity validation APIs, it (1) truncates DNS SAN values at embedded NUL bytes (accepti

better-auth versions before 1.6.2 fail to validate the OAuth state parameter against the stored nonce when using cookie-backed state storage without PKCE. Attackers can forge the state parameter and supply an attacker-controlled authorization code to create authenticated sessions bound to the attacker's external identity or persistently link attacker accounts to victim profiles.

axios versions 1.7.0 before 1.18.0 fail to enforce maxBodyLength for WHATWG ReadableStream request bodies in the fetch adapter when Content-Length cannot be determined. Attackers can supply unknown-length stream data to bypass upload size limits and cause uncontrolled network egress or resource exhaustion.

axios versions >=1.15.2 and <1.18.0 contain prototype-pollution read-side gadgets in Basic auth subfield handling (lib/adapters/http.js and lib/helpers/resolveConfig.js). When an application is already affected by a separate prototype-pollution primitive and makes an axios request with an own auth object that omits the username and/or password properties, axios reads the inherited Object.prototype

axios versions 0.28.0 and later contain uncontrolled recursion in formDataToJSON when processing FormData field names with deeply nested bracket segments. Attackers can supply FormData with field names containing thousands of nested brackets to exhaust the JavaScript call stack and trigger RangeError, causing request failure or process termination in applications that do not handle the exception.

Traefik versions >= v3.7.0 and <= v3.7.7 contain a path traversal vulnerability in the Kubernetes Ingress NGINX provider's RewriteTarget middleware (generated from the nginx.ingress.kubernetes.io/rewrite-target annotation). When an Ingress path uses a regex that captures attacker-controlled text without requiring a path separator (e.g., path /api(.*) with rewrite target /$1), a crafted request suc

## Summary The `sendPasswordResetEmail` mutation in WPGraphQL is explicitly designed to prevent user enumeration. The resolver in `src/Mutation/SendPasswordResetEmail.php` states in a code comment: `// We obsfucate the actual success of this mutation to prevent user enumeration.` The mutation always returns `success: true` regardless of whether the supplied username/email belongs to an existing

### Impact Remote denial of service via panic while parsing a crafted ECDHE_PSK ServerKeyExchange message. ### Patches Upgrade to v3.1.4 or later. This version includes this patch https://github.com/pion/dtls/pull/839 which fixes the issue. ### Workarounds No work around; please upgrade to v3.1.4 or a newer version.

PLANET VDR-300NU ADSL Router - 未授权修改DNS

Acknowledgements

本文研究 LLM 集成应用系统（LLM-integrated app systems）的安全性问题。这类系统通过第三方应用扩展大语言模型（LLM）的功能，系统 LLM 采用交错规划和执行的方式调用第三方应用来回答用户查询。然而，这种架构引入了新的攻击面：恶意应用可能导致规划或执行的完整性被破坏、可用性中断或执行期间的隐私泄露。作者首先识别出若干新型攻击，这些攻击分别影响规划完整性、执行完整性和可用性，并在最近的防御方案 IsolateGPT 上进行了演示，表明现有方案仍存在不足。针对这些问题，论文提出了 ACE（Abstract-Concrete-Execute）安全架构，为 LLM 集成应用系统提供规划与执行的安全保证。ACE 的核心思想是将规划过程解耦为两个阶段：第一阶段仅基于可信信息生成抽象执行计划，第二阶段利用已安装的系统应用将抽象计划映射为具体执行计划。系统通过静态分析结构化的计划输出，验证用户指定的安全信息流约束是否得到满足。在执行阶段，ACE 在应用之间强制实施数据和能力隔离屏障，并确保执行过程严格遵循可信的抽象计划。实验结果表明，ACE 能有效抵御 INJECAGENT 与 Agent Security Bench 基准中的间接提示注入攻击，以及作者新发现的攻击。同时，作者在 LangChain 基准的 Tool Usage 套件上评估了 ACE 在真实环境中的效用，证明其不仅安全，还能保持较高的任务可用性。总体而言，ACE 将系统安全原则引入 LLM 系统加固，是该领域一项重要的研究进展。

本文首次对大语言模型（LLM）智能体在多工具集成场景下的任务控制流安全性进行了系统分析。LLM 智能体利用一组工具进行推理和规划，但多工具集成带来了工具管理、兼容性、依赖关系和控制流保护等安全挑战。作者提出了一种新型威胁——跨工具收割与污染（XTHP），该威胁包含多种攻击向量，攻击者可先劫持智能体任务的正常控制流，进而收集或污染系统中的机密或私有信息。为评估该威胁的实际影响，作者开发了 Chord——一个动态扫描工具，用于自动检测真实世界中易受 XTHP 攻击的智能体工具。作者对来自 LangChain 和 Llama-Index 两大主流 LLM 智能体开发框架的 66 个真实工具进行了评估，发现其中 75% 的工具易受 XTHP 攻击，凸显了该威胁的普遍性。该研究为 LLM 智能体安全提供了新的视角，揭示了工具间交互中存在的控制流风险，并为后续的防御研究奠定了基础。适合 LLM 安全研究员、智能体框架开发者以及安全运营人员阅读。

CVE-2026-55735 影响 Elixir 生态中的 ueberauth guardian 库（版本 1.0.0 至 2.4.1 之前）。该漏洞源于 Guardian.revoke/3 函数在撤销会话时未正确验证 JWT 的签名。具体而言，revoke/3 使用 peek/1 解码传入的 token，而 peek/1 仅对 JWT 的头部和载荷进行 base64 解码，不执行任何签名校验。解码得到的未验证 claims 会直接传递给 token 模块的 revoke 回调以及实现中的 on_revoke 回调——这些回调属于会改变状态的操作（例如从白名单中删除或向黑名单插入条目）。相比之下，refresh/2 和 exchange/4 都会先调用 decode_and_verify 完成签名验证后再处理 claims，因此 revoke/3 是唯一不验证签名就执行状态变更的路径。攻击者若能获知或猜测受害者的标识性 claims（如 jti、sub），即可使用任意密钥伪造一个携带这些 claims 的 JWT，并将其提交给任何将调用者提供的 token 汇入 Guardian.revoke/3 的端点（典型的登出或会话撤销功能）。当 token 模块依据 claims 变更状态时，受害者的合法会话会被强制注销。该漏洞构成未认证的会话撤销拒绝服务（DoS），攻击者无需知道服务端的签名密钥。目前没有证据表明该漏洞已被在野利用，也未列入 KEV。修复方案为升级到 guardian 2.4.1 或更高版本；在无法立即升级的环境中，应限制 revoke 相关端点的网络暴露，并考虑在进入 revoke 前增加额外的 token 验证逻辑。

本文为 Akamai 官方发布的“Firewall for AI”产品介绍页面，属于安全解决方案宣传，并非针对具体攻击事件的披露。该产品旨在为人工智能（AI）应用及基础设施提供专门防护，重点抵御分布式拒绝服务（DDoS）攻击与僵尸网络（botnet）威胁。随着 AI 技术在金融、医疗、制造等行业的广泛部署，攻击者开始将 AI 系统视为高价值目标，利用日益庞大的物联网设备组成僵尸网络发起大规模流量攻击，导致 AI 服务中断或数据泄露。Akamai 依托其全球分布式边缘网络和智能流量分析能力，推出该防火墙，通过实时识别和过滤恶意流量、在源头阻断攻击，保障 AI 应用的可用性和安全性。页面可能介绍了产品的工作原理、部署模式以及与其他 Akamai 安全产品的协同。但需要注意的是，该页面未提供任何具体攻击案例、技术细节或统计数字，因此仅能作为了解 Akamai 防护思路的参考。

The WooCommerce - Social Login plugin for WordPress is vulnerable to Authentication Bypass in all versions up to and including 2.8.7. This is due to the plugin's Apple login handler accepting the Apple id_token and decoding only its base64 payload without verifying the JWT signature against Apple's public keys or validating the issuer, audience, or expiry claims, combined with the security nonce r

luci-app-https-dns-proxy contains a stored cross-site scripting vulnerability in the resolver_url parameter that allows authenticated users to inject active HTML. When an administrator views the HTTPS DNS Proxy status page, the resolver URL is rendered as raw HTML and executes JavaScript in the administrator's browser origin.

ArcadeDB before 26.7.2 (arcadedb-engine) allows trigger scripts to look up host classes in java.lang.* (via Java.type) because ScriptTriggerExecutor adds java.lang.* to the allowed packages. An authenticated user with UPDATE_SCHEMA permission can create a JavaScript trigger that invokes java.lang.Runtime.getRuntime().exec() (or ProcessBuilder), achieving OS command execution when the trigger fires

better-auth before 1.6.13 (and pre-release builds 1.7.0-beta.0 through 1.7.0-beta.3) fail to validate the scheme of redirect_uris registered via the deprecated oidc-provider plugin and the mcp plugin (which wraps the same provider). An attacker can register an OAuth client with a javascript: redirect_uri, which the authorization server later returns unchanged in the consent response. If the deploy

ArcadeDB versions before 26.7.2 fail to enforce scripting authorization checks on the SQL DEFINE FUNCTION statement with LANGUAGE js. Attackers with database access can execute arbitrary JavaScript code by submitting DEFINE FUNCTION statements, bypassing security controls intended to restrict scripting to administrators.

ArcadeDB versions before 26.7.2 contain an authorization bypass vulnerability in HTTP handlers for time series, batch, Prometheus, and Grafana endpoints that fail to validate database access permissions. Attackers can access and modify databases they are not authorized to use by directly calling affected endpoints with arbitrary database parameters.

better-auth versions before 1.6.2 fail to validate the OAuth state parameter against the stored nonce when using cookie-backed state storage without PKCE. Attackers can forge the state parameter and supply an attacker-controlled authorization code to create authenticated sessions bound to the attacker's external identity or persistently link attacker accounts to victim profiles.

GitPython 3.1.50 fails to recognize joined short-option forms such as -u (the short form of --upload-pack=) when enforcing its default unsafe-option gate. When an application passes attacker-influenced clone options into Repo.clone_from(..., multi_options=..., allow_unsafe_options=False), an attacker can supply -u to bypass the gate that blocks --upload-pack/-u, causing Git to execute the specifie

axios before 0.33.0 (and 1.x before 1.18.0) can consume inherited properties from nested request option objects when the JavaScript process's Object.prototype has already been polluted by another component. While the top-level merged config uses a null prototype, nested plain objects such as auth and paramsSerializer are cloned into ordinary objects and read without own-property checks. When an ap

@better-auth/sso versions before 1.6.21 contain multiple authentication bypass vulnerabilities in SSO provider handling that allow attackers to sign in as arbitrary users. Attackers can exploit domain verification parsing mismatches, orphaned provider accounts, unbound SAML assertions, or reflected XSS on logout endpoints to gain unauthorized session access and account takeover.

axios in a Node.js deployment using the HTTP adapter can route requests through an attacker-controlled proxy. axios hardens merged request configuration by creating a null-prototype object, but request interceptors run after the merge; a common immutable interceptor pattern such as {...config} or Object.assign({}, config) converts the hardened config back into a regular object. axios then dispatch

axios before 0.33.0 contains an incomplete depth-limit bypass in toFormData.js when serializing objects with top-level keys ending in '{}'. Attackers who control object keys and nested values passed to axios form or parameter serialization can trigger a RangeError from JSON.stringify, causing denial of service in the affected request path.

Wazuh 5.0.0-beta1 (fixed in 5.0.0-beta3) does not validate or override the cluster_name and cluster_node fields in inventory-sync Start FlatBuffer messages, while validating only the agentid against the authenticated agent identity. This allows a low-privileged enrolled agent to spoof cluster attribution in indexed inventory and vulnerability documents by forging wazuh.cluster.name values and infl

axios versions >=1.13.0 (Node.js HTTP adapter) fail to enforce the configured maxBodyLength limit on streamed request bodies when requests are sent with httpVersion: 2. Because Node's HTTP/2 request API does not honor the maxBodyLength option and axios's byte-counting stream wrapper is gated on maxRedirects === 0, an attacker who controls a stream passed to axios can cause the application to trans

axios versions 0.28.0 and later contain uncontrolled recursion in formDataToJSON when processing FormData field names with deeply nested bracket segments. Attackers can supply FormData with field names containing thousands of nested brackets to exhaust the JavaScript call stack and trigger RangeError, causing request failure or process termination in applications that do not handle the exception.

axios is vulnerable to read-side prototype-pollution gadgets that can alter request construction when Object.prototype has already been polluted by a separate vulnerability or dependency. In the bodyless method aliases (axios.get(), axios.delete(), axios.head(), axios.options()), inherited data is read via (config || {}).data before config normalization, causing an attacker-controlled body to be s

Budibase before 3.38.1 contains a server-side request forgery vulnerability in the REST datasource integration that fails to validate HTTP redirects against the IP blacklist. Attackers with Builder role can configure a REST datasource pointing to an external server that returns a redirect to internal IP addresses, bypassing blacklist protection to access cloud metadata endpoints and internal servi

Wazuh workflows before 44bf114 contain a shell injection vulnerability in GitHub Actions that allows attackers to execute arbitrary commands by submitting pull requests with crafted VERSION.json files. Attackers can inject shell metacharacters into environment variables that are directly interpolated into run steps, enabling command execution and exfiltration of secrets including GITHUB_TOKEN and

axios versions 1.15.0 before 1.18.0 fail to recognize 0.0.0.0 as a loopback address in shouldBypassProxy.js, allowing requests to 0.0.0.0 to bypass NO_PROXY rules. Attackers can supply 0.0.0.0 URLs to route requests through configured proxies, potentially exposing local services when the proxy can reach the destination.

axios versions from 0.28.0 before 0.33.0 and from 1.0.0 before 1.18.0 contain uncontrolled recursion in formDataToJSON (exposed as axios.formToJSON() and used internally when serializing FormData with Content-Type: application/json). When an application passes attacker-controlled FormData field names, a field name with thousands of nested bracket-delimited segments causes unbounded recursion in bu

axios versions 1.7.0 before 1.18.0 fail to enforce maxBodyLength for WHATWG ReadableStream request bodies in the fetch adapter when Content-Length cannot be determined. Attackers can supply unknown-length stream data to bypass upload size limits and cause uncontrolled network egress or resource exhaustion.

axios versions >=1.15.2 and <1.18.0 contain prototype-pollution read-side gadgets in Basic auth subfield handling (lib/adapters/http.js and lib/helpers/resolveConfig.js). When an application is already affected by a separate prototype-pollution primitive and makes an axios request with an own auth object that omits the username and/or password properties, axios reads the inherited Object.prototype

FreeRDP before 3.29.0 (affected versions <= 3.28.0) does not validate CRLF and control characters in the server-controlled RDP redirection TargetNetAddress field. This value is copied into the client's ServerHostname and, when the client connects through an HTTP proxy, is written directly into the proxy CONNECT request line and Host header by http_proxy_connect() without filtering. A malicious or

better-auth versions after v0.0.2 and before 1.1.16 contain a reflected cross-site scripting (XSS) vulnerability on the /api/auth/error page, where the value of the 'error' URL parameter is reflected as HTML without proper neutralization. An attacker who coerces a user into visiting a specially-crafted URL can execute arbitrary JavaScript in the context of the user's browser. The issue is fixed in

The Kadence Blocks — Page Builder Toolkit for Gutenberg Editor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Identity Block Inner Image Content in all versions up to, and including, 3.7.8.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts i

### Summary `consult_gemini_with_files` in **inline mode** read any file path supplied in the `files` argument without confining it to the working `directory`, then forwarded the contents to the Gemini CLI. Because the caller also controls `query`, the file contents are echoed back through the Gemini round-trip (and sent to Google), making this an arbitrary local file read. ### Impact An MCP clie

### Summary GeoNetwork's post-login redirect handling can be bypassed to redirect users to an attacker-controlled external site, even though the code attempts to restrict redirect targets to relative, in-application URLs. This affects both supported SSO login methods: OAuth2/OIDC and Keycloak. ### Details Both the OAuth2/OIDC and Keycloak login filters validate the client-supplied post-login redi

sigstore-go fails to check signature timestamps against a signing key's validity period for self-managed long-lived keys without certificates. ## Impact To verify a bundle with a self-managed long-lived key, the key needs to be wrapped in an `ExpiringKey` type that implies expiration semantics: ```go signatureVerifier, _ := signature.LoadDefaultVerifier(publicKey) expiredKey := root.NewExpiring

## Summary `apos.util.set()` traverses dot-notation paths without sanitizing `__proto__`, allowing an authenticated editor to write arbitrary values to `Object.prototype` via the `$pullAll` patch operator. A confirmed gadget in `publicApiCheck()` causes this to bypass authorization on all piece-type REST API endpoints for every subsequent unauthenticated request, for the lifetime of the Node.j

## Summary sanitize-html uses `allowedSchemesAppliedToAttributes` (default: `['href', 'src', 'cite']`) to gate the `naughtyHref()` function that blocks dangerous URI schemes like `javascript:` and `vbscript:`. The HTML specification defines 10+ attributes that accept URIs (`action`, `formaction`, `data`, `poster`, `background`, `ping`, `xlink:href`, `dynsrc`, `lowsrc`), but none of these are incl

## Summary `GET /api/myInAppChannels:list` accepts a structured `filter` query parameter. The handler for the `latestMsgReceiveTimestamp` field splices the `$lt` value directly into a `Sequelize.literal()` template string with no escape, type cast, or parameter binding. The action ACL is `loggedIn`, so any authenticated account reaches it. The default `auth-basic` authenticator ships `allowSignUp

A `` element placed directly inside an `` (or MathML) container was not removed by Jodit's clean-html sanitizer. The deny/allow tag filter compared `node.nodeName` against an upper-cased tag hash, but foreign (SVG/MathML) elements preserve their original-case node names — an SVG script reports `"script"`, not `"SCRIPT"` — so the default `denyTags` list (which includes `script`) did not match it.

### Summary jodit's built-in `clean-html` sanitizer can be bypassed by a MathML/`` carrier that hides a dangerous element from the sanitizer's element walk, so a no-interaction event handler survives into the editor value. When an application supplies attacker-influenced HTML to the editor's value-set or insertion paths, the sanitized output still contains a live `` (or another non-`onerror` handl

### Summary jodit's `sanitizeHTMLElement` neutralizes a `javascript:` `href` using a bare `href.trim().indexOf('javascript') === 0` check. This omits the normalization jodit applies to every other URL attribute: `isDangerousUrl` strips control bytes with `value.replace(/[\u0000-\u0020]+/g, '')` and lowercases the value before testing the scheme. Because the `href` check does neither, it is bypass

Firefox browsers

Sign in to Cloud

Sign Up for Free Cloud Tier

iOS 26.4.2 and iPadOS 26.4.2

iOS 18.7.8 and iPadOS 18.7.8

iOS 18.7.7 and iPadOS 18.7.7

iOS 26.4 and iPadOS 26.4

Background Security Improvements for iOS, iPadOS, and macOS

iOS 16.7.15 and iPadOS 16.7.15

iOS 15.8.7 and iPadOS 15.8.7

iOS 26.3 and iPadOS 26.3

iOS 18.7.5 and iPadOS 18.7.5

iOS 26.2 and iPadOS 26.2

iOS 18.7.3 and iPadOS 18.7.3

Compressor 4.11.1

iOS 18.7.2 and iPadOS 18.7.2

iOS 26.1 and iPadOS 26.1

iOS 26.0.1 and iPadOS 26.0.1

Android Code Search

Android Devices

Secure an Android device

Android 16 QPR2

Mobile network security

iOS 26.5 and iPadOS 26.5

iOS 18.7.9 and iPadOS 18.7.9

iOS 16.7.16 and iPadOS 16.7.16

iOS 15.8.8 and iPadOS 15.8.8

MFSA 2026-49Security Vulnerabilities fixed in Firefox for iOS 151.0

MFSA 2026-52Security Vulnerabilities fixed in Firefox for iOS 151.1

MFSA 2026-53Security Vulnerabilities fixed in Firefox for iOS 151.2

MFSA 2026-55Security Vulnerabilities fixed in Focus for iOS / Klar 151.3.1

MFSA 2026-56Security Vulnerabilities fixed in Firefox for iOS 152.0

iOS 26.5.2 and iPadOS 26.5.2

MFSA 2026-65Security Vulnerabilities fixed in Firefox for iOS 152.3

MFSA 2026-66Security Vulnerabilities fixed in Firefox for iOS 152.4

iOS 26.6 and iPadOS 26.6

【TDSQL PostgreSQL 版公有云服务 】停止售卖公告

【大模型服务平台 TokenHub】&【智能体开发平台】& 【云开发 CloudBase】 关于腾讯云 Hy3 preview 模型下线及切换升级的通知

该论文针对大语言模型（LLM）在关键领域部署时面临的数据投毒后门攻击问题展开研究。攻击者可能通过污染训练数据植入后门触发器，使得模型在推理阶段遇到特定输入时被隐蔽地操控行为。作者聚焦于防御者在现实约束下的触发器恢复能力：仅拥有模型的白盒权重访问权限和已知目标危害行为，但无法访问训练数据、没有可信参考模型、不知道触发器内容、甚至不确定模型是否已被投毒。为了系统评估这一能力，作者发布了 ToxScreen 基准，包含约 800 个被植入后门的模型，覆盖攻击目标、触发器机制、投毒比例、模型规模和训练机制等多个维度，并确保这些后门具备高质量：高攻击成功率、对未见有害输入具有泛化性、且不损害正常任务性能。实验上，作者比较了两种触发器恢复方法：基于梯度的提示优化和基于 token 查表的候选排序（按攻击成功率排名）。结果显示，基于梯度的提示优化未能成功恢复触发器，而 token 查表方法能够在所有后门有效的模型上恢复触发器。进一步的权重分析揭示了一个重要现象：后门攻击与越狱（jailbreak）行为在机制上存在差异，这使得防御者可以借此区分并过滤掉越狱样本。尽管没有任何单一方法能可靠地暴露所有后门，但论文指出一个广泛可越狱的模型本身就是异常信号，即使未能恢复具体触发器，也可用于检测。作者公开了所有模型和评估代码，为后续研究提供基准。本文的核心贡献包括：构建大规模后门模型基准、实证对比两种恢复方法的有效性、揭示后门与越狱的机制差异、以及提出可操作的异常信号。适合从事 LLM 安全性研究、模型红队测试、AI 安全防御的工程师和研究人员阅读。

该论文提出 ThreatForest，一个面向云原生架构威胁建模的多智能体系统。传统威胁建模依赖人工分析源代码仓库，速度慢且需要稀缺的安全专家。ThreatForest 将威胁建模分解为多阶段智能体流水线，包括仓库分析、上下文精炼、威胁生成、并行攻击树构建（含 TTP 映射与缓解措施综合）以及报告生成。整个流程以有向图形式编排，包含确定性验证门、有限重试和三个人类参与验证点。系统可插拔地映射多种对抗框架（MITRE ATT&CK、CAPEC 及云特定威胁矩阵），并使用领域特定的句子转换器通过余弦相似度将攻击步骤映射到候选技术。实验表明，嵌入阶段是准确性的主要瓶颈，而非整个流水线。作者在七个应用领域上使用十六维评分标准进行评估，由独立 LLM 评分器加对抗验证和专家评审打分。威胁陈述、攻击树和缓解措施的质量得分在 0.63-0.68（0-1 标度），而仅嵌入的 TTP 映射得分仅 0.29，且该差距在七个领域稳定存在。对照实验表明，单次调用基线在同一模型上将映射可辩护性提高了一倍以上，从而将限制定位在嵌入编码器而非多智能体设计上。据作者所知，ThreatForest 是首个将代码仓库端到端转换为跨对抗框架的 TTP 映射攻击树并带证据缓解措施的系统，同时提供了可复用的基准框架。该论文适合安全自动化研究人员、威胁建模工具开发者及关注云安全左移的蓝队工程师阅读。

大型语言模型（LLM）智能体在动态环境中自主执行复杂操作，将语义推理与系统操作交织在一起。传统的静态工具级权限在这种环境下显得力不从心，因为安全授权高度依赖上下文，并受运行时状态和数据流变化的影响。为此，本文提出 FAVA（Formal Authorization for Verified Agents），一种面向智能体执行的携带权限的授权框架。FAVA 利用 LLM 引导的权限中间表示（Permission IR）将模糊的自然语言任务转换为结构化约束；随后通过确定性的降级过程（lowering pass）将该 IR 转换为显式追踪数据流、依赖关系和上下文标签的“基于证据的权限图”（evidence-backed permission graph）。为了提供严格的安全保证，FAVA 引入基于可满足性模理论（SMT）的授权器，在任何有副作用的动作执行之前，对当前权限图与安全策略进行数学验证；运行时网关强制执行求解器的结果，要么授权执行，要么通过精确的反例进行拦截。作者在 OpenAgentSafety、OctoBench 和 ActPlane 场景上评估了 FAVA。实验结果表明，在聚合数据集上 FAVA 达到了 90.5% 的决策合规率（DCR），并在给定的轨迹条件场景中成功拦截了动态违规轨迹。该研究的核心贡献在于首次将形式化验证（SMT）与 LLM 智能体的动态授权相结合，实现了可证明安全的权限决策。适合对 LLM 智能体安全、形式化验证与安全策略自动推理感兴趣的研究人员和开发者阅读。

Cloud & Application Security

From Scanner to Stealer: Inside the trivy-action Supply Chain Compromise

Next-Gen Identity Security

CrowdStrike Named an Innovation and Growth Leader in the 2026 Frost Radar™: Cloud and Application Runtime Security

CrowdStrike Expands Identity Leadership with OpenID and IDPro

cloud architecture assessment

ransomware and multifaceted extortion defense

Google Cloud Next 2026Catch-up sessions on the keynotes and select sessions are now available on demand.Explore content on-demand

The Identity Problem Hiding in AI Agent Deployments

94% of Organizations Report Cloud Breaches: CrowdStrike State of CDR Survey

Falcon Cloud Security June 2026 Release: Updates for Azure and Google Cloud

Falcon Cloud Security July 2026 Release: Helping Security Teams Move Faster in the Cloud

Pharmaceutical company Amgen says it suffered a data breach after threat actors stole corporate data and patient information stored in multiple cloud systems operated by third-party service providers. [...]

### Summary `NonFinalizedState::handle_reorg` is a recursive, unbounded async function that traverses parent blocks until it finds a common ancestor on the main chain. It has **no recursion depth limit** and **no cycle detection**. A malicious or buggy validator can serve a block whose `previous_block_hash` points back to itself (or forms a cycle with other blocks), causing `handle_reorg` to infin

本文提出 AttackGNN，这是首个针对硬件安全领域基于图神经网络（GNN）技术的红队攻击框架。近年来，GNN 被广泛用于集成电路硬件安全任务，如检测知识产权盗版、硬件木马检测与定位、电路逆向工程和硬件混淆等，并取得了很高的准确率。然而，这些技术本身可能被对抗样本所欺骗，从而在安全关键场景中引入严重风险。为了系统评估其鲁棒性，作者设计了一个基于强化学习（RL）的智能体，用于生成对抗性电路样本，以诱骗目标 GNN 模型。研究中解决了三个核心挑战：有效性（攻击成功率）、可扩展性（适用于大规模电路）和通用性（跨不同问题类别）。作者针对四类硬件安全问题的五种 GNN 防御技术进行了攻击测试，包括 IP 盗版检测、硬件木马定位、逆向工程和硬件混淆。实验结果表明，生成的对抗性电路能够以 100% 的成功率欺骗所有被测试的 GNN 模型，例如让防御系统将盗版电路误判为正常，或将植入木马的电路误判为安全。这项工作揭示了当前 GNN 硬件安全防御的脆弱性，并强调了在部署前进行对抗性评估的必要性。适合硬件安全研究人员、AI 安全工程师和集成电路设计者阅读，以理解 GNN 模型的潜在弱点并开发更鲁棒的防御机制。

本文提出了一种可解释的基于深度学习的Web攻击检测方法，核心目标是解决深度学习模型在Web攻击检测中‘黑盒’特性导致的不可信问题。现有基于深度学习的Web入侵检测系统虽然具有较高的检测准确率，但无法向安全分析人员解释为何将某条请求判定为攻击，这使得安全运营人员难以验证告警真实性、定位攻击特征并进行快速响应。为此，作者提出通过恶意载荷定位（Malicious Payload Localization）的方式，在给出检测结果的同时，明确指出请求中具体哪一部分字符或Token构成了攻击载荷，从而将模型决策过程转化为可读的、可验证的定位结果。研究中，作者设计了一种能够同时完成检测和定位的神经网络架构，利用注意力机制或多实例学习等方式，将分类概率映射到输入序列的局部片段，并通过约束训练让模型学习对恶意关键词或异常结构产生稀疏且集中的注意力，从而输出高分辨率的恶意载荷片段。在公开的Web攻击数据集（如CSIC 2010、CICIDS等）以及真实流量样例上，作者进行了大量实验，结果表明该方法在保持与现有深度检测模型相当甚至更优的检测性能（准确率、召回率、F1值）的前提下，能够较为精准地定位出恶意载荷的起止位置，且定位结果与人工标注的攻击特征具有较高重合度。此外，文章还探讨了该定位能力对模型鲁棒性的影响，发现引入定位任务有助于减少误报，并提升对未知攻击变体的泛化能力。本文适合从事Web安全检测、AI可解释性研究以及安全运营平台开发的工程师和研究人员阅读，其提供的可解释输出机制可直接嵌入现有WAF或NDR系统中，帮助蓝队更快完成告警研判和攻击溯源。

WiFinger 提出了一种针对高噪声 Wi-Fi 环境下物联网(IoT)设备事件流量的细粒度指纹识别方法。智能家居等 IoT 环境容易遭受隐私推断攻击，攻击者通过分析加密网络流量的模式来推断设备状态甚至人员活动。现有攻击大多依赖机器学习技术，但在无线流量上表现不佳，因为 Wi-Fi 嗅探具有高噪声和数据包丢失的特点。此外，这些方法通常针对区分分块的 IoT 事件流量样本，无法有效同时跟踪多个并发事件。WiFinger 将流量模式分类问题转化为子序列匹配问题，通过引入高效算法解决了高时间复杂度，同时保持了高准确率。该方法还降低了对训练样本量的依赖，使得未来更新指纹更加轻量，减少了人工成本。实验在多种实际威胁模型下评估，WiFinger 的平均召回率达到 89%，而对比方法仅为 49% 和 46%，同时在各种 IoT 事件上几乎零误报。该研究揭示了无线层加密流量的隐私风险，并展示了传统分类方法在无线环境中的局限性。核心贡献包括：将序列匹配引入物联网流量指纹识别，针对噪声和多事件场景设计了新机制，并显著降低了样本需求。该工作对理解无线流量隐私泄露途径和设计相应防御措施具有参考价值。

该论文针对开源软件项目中的安全与信任实践进行了定性研究。开源软件在现代软件生态中占据核心地位，其去中心化开发和开放协作模式带来了独特挑战，例如来自未知实体的代码提交、有限的人力进行提交或依赖审查，以及如何让新贡献者快速了解项目最佳实践等。研究者对来自多个不同开源项目的所有者、维护者和贡献者进行了27次深度半结构化访谈，探究他们在安全与信任方面的实际做法。研究内容涵盖项目的幕后流程、提供的指南与策略、事件处理方式以及遇到的挑战。研究发现，不同项目在部署的安全措施、信任流程以及背后的动机上存在高度多样性。基于这些发现，论文讨论了对开源软件生态系统的影响，以及研究社区如何更好地支持开源项目在信任与安全方面的考量。作者主张以考虑各项目个体优势与限制的方式提供支持，尤其是对于贡献者数量少、资源访问受限的小型项目。该研究通过定性方法深入揭示了开源社区安全实践的现状与差异，为后续改进开源项目安全支持提供了实证基础。适合关注供应链安全、开源治理及社区安全实践的研究人员、开源项目维护者及平台设计者阅读。

该论文题为《Operation Mango: Scalable Discovery of Taint-Style Vulnerabilities in Binary Firmware Services》，由亚利桑那州立大学等机构的研究者撰写。根据标题和作者信息判断，本文聚焦于二进制固件服务中污点风格漏洞（如命令注入、路径遍历、内存破坏等）的可扩展自动发现方法。由于仅提供论文元数据而无摘要内容，无法获取具体的架构设计、实验数据集或对比基线。但可以推断，论文可能提出了一种静态分析或混合分析技术，针对固件中的服务程序（如 Web 接口、网络守护进程）进行污点追踪，以发现从不可信输入到敏感操作的污点数据流。作者团队包括多位知名二进制分析专家，如 Ruoyu Wang（Fish）和 Yan Shoshitaishvili，表明工作具有扎实的技术深度。该研究对固件安全分析师、漏洞挖掘工具开发者具有参考价值，可能为嵌入式设备安全评估提供可扩展的自动化分析框架。但具体方法细节、工具可用性和实验效果需阅读原文确认。本摘要基于标题和作者推断，建议读者获取原文以了解完整贡献。

本文提出了一种名为 CoordMail 的新型攻击技术，针对电子邮件系统中 SMTP 协议的超时机制与命令交互行为进行协同利用，以实现“收敛放大攻击”（Convergence Amplification Attack）。研究背景在于，现代电子邮件基础架构由多个中间件（如 MTA、代理、网关）串联组成，各组件对 SMTP 会话超时和命令序列的处理存在差异，这为攻击者提供了操纵链路状态的空间。核心方法是：攻击者通过精心编排 SMTP 命令的发送时机与顺序，利用不同中间件对超时阈值的响应差异，使邮件在多个节点之间反复触发转发、重试或延迟操作，最终将有限数量的恶意邮件放大为对目标服务器或网络的巨大流量压力，形成放大攻击。主要贡献包括：系统化分析了多种主流邮件中间件的 SMTP 超时配置与命令交互逻辑，提出了可形式化描述的攻击模型，并通过实验验证了该攻击在真实环境中的可行性，揭示了现有邮件基础设施中缺乏对这类跨层协同攻击的防护机制。适合邮件服务提供商、网络安全研究人员及 SOC 分析师阅读，以理解 SMTP 中间件组合可能引入的隐蔽攻击面。

该论文是一篇关于社会网络安全（Social Cybersecurity）的系统性综述（SoK）。研究背景是：传统网络安全与隐私（S&P）系统在设计时往往忽略用户的社会行为和社会关系，导致用户在实际使用中难以在理想的安全策略与社会互动之间取得平衡。作者系统分析了先前在社会网络安全领域的工作，并基于其与四个S&P相关的社会行为的相关性进行结构化梳理：(1) 协商共享资源的访问权限；(2) 共享与社会化认证；(3) 管理自我呈现（如隐私设置、个人信息展示）；(4) 影响他人对S&P的行为。进一步地，论文将社会距离划分为四个尺度——亲密、个人、社交、公共——并指出期望的访问控制策略、认证方法以及隐私和共享偏好会随社会尺度变化而变化。作者通过Ackerman在社交计算系统中提出的“社会-技术差距”视角评估当前研究现状，发现社会行为明显影响S&P偏好和需求，但现有S&P系统在设计时对这些行为缺乏理解。这种不匹配迫使用户不得不在实现理想安全策略和降低社交摩擦之间做出选择。为弥合这一差距，论文提出了一项社会网络安全的研究议程，旨在使安全与隐私目标更好地与社会需求、偏好和行为对齐。主要贡献包括：对社会网络安全文献的分类框架、社会距离尺度的引入、对现有系统不足的评估，以及未来研究方向的建议。该论文适合安全系统设计者、隐私研究员、人机交互（HCI）与安全交叉领域的研究人员阅读，有助于理解安全机制设计中的社会维度。

生成对抗网络（GAN）在合成逼真图像方面取得了显著进展，甚至能够欺骗人类观察者。为应对深度伪造带来的安全风险，已有多种检测方法通过识别生成过程中残留的图像伪影来区分真实与合成内容。然而，已有反攻击研究揭示了这些检测方法的局限性，但多数反攻击需要满足特定条件，例如需要与检测模型进行交互或直接调整生成器。本文提出了一类新颖且简单的反攻击方法，突破这些条件限制。作者发现，攻击者可以直接在生成图像的频域中去除指示性伪影，即所谓的“GAN指纹”。他们系统探索了多种指纹去除方式，从简单的对高频分量进行滤波，到更为精细的针对特定频率峰值的清除。通过在多种检测方法、GAN架构和数据集上的实验评估，作者证明了这种攻击能够有效移除GAN指纹，从而使生成的图像成功规避检测。这项研究不仅揭示了一种高效且易于实施的攻击途径，还指出了当前深度伪造检测技术的一个关键盲区，即过度依赖生成伪影的检测策略存在根本性脆弱性。该工作对数字取证、内容真实性验证以及社交媒体平台的内容安全治理具有重要的警示意义，强调了需要发展更具鲁棒性的检测范式，例如结合语义信息、生成模型先验或跨模型一致性分析。对于安全从业者而言，理解此类攻击有助于重新评估现有检测体系的可靠性，并为设计下一代防御措施提供参考。本摘要基于论文摘要生成，未涉及具体攻击实现细节。

本文是面向“高风险用户”（at-risk users）的网络安全研究的系统化综述（SoK）。高风险用户是指因自身处境或背景因素而面临更高数字攻击风险或遭受不成比例伤害的人群，例如儿童、活动人士、残障人士、性少数群体、家暴受害者等。作者通过对95篇相关论文进行广泛的元分析，提出了一个用于统一理解和研究高风险用户的框架。该框架识别出10种共同的情境风险因素，如边缘化、接触敏感资源等，这些因素会放大数字安全风险及其造成的伤害。同时，文章归纳了高风险用户为自我保护而采用的技术性和非技术性实践，并分析了阻碍他们采取有效防护措施的障碍。作者希望该框架能帮助研究人员和技术创造者识别并规划研究投入，以更好地惠及高风险用户，并指导技术设计，使其更贴合这些用户的真实需求。该综述的核心贡献在于提出了一个跨人群、可泛化的分析框架，弥补了以往研究多聚焦单一特定人群而缺乏整体视角的空白。适合关注隐私、安全与人机交互交叉领域的研究人员、安全产品设计者以及希望理解用户安全行为差异性的从业者阅读。

RT-TEE 提出了一种面向实时信息物理系统 (CPS) 的实时可信执行环境 (TEE) 设计与实现。传统 TEE（如 ARM TrustZone）在移动平台上主要关注机密性和完整性，但安全关键的 CPS（如自动驾驶汽车、无人机）还需要强实时性保证，即计算必须在截止时间前完成，否则可能导致灾难性后果。作者指出当前 TEE 部署范式在 CPS 场景下缺乏对可用性（availability）的支持，这是核心研究空白。RT-TEE 针对三个关键挑战：(1) 在商用嵌入式平台上仅用最小硬件原语引导可用性保障能力；(2) 设计基于策略的事件驱动分层调度器，以平衡实时性能与调度器复杂度；(3) 为缓解安全世界中设备驱动带来的风险，设计 I/O 参考监视器，结合软件沙箱和驱动去臃肿（debloating），对外设进行细粒度访问控制并最小化可信计算基 (TCB)。作者在 ARMv8-A 和 ARMv8-M 平台上实现了原型，并在合成任务和真实 CPS 应用上测试，包括在仿真中的小车和飞机、以及在仿真和真实无人机上的四旋翼验证。实验结果表明 RT-TEE 能在保证安全隔离的同时满足实时调度需求。该论文的主要贡献是首次系统性地将实时可用性作为 TEE 的一等公民，为 CPS 安全提供了一种兼顾隔离与时效的架构方案。适合从事嵌入式安全、实时系统、TEE 设计与 CPS 安全的工程师和研究人员阅读。

本文研究的是生产环境中的恶意软件检测系统在面对可迁移对抗性攻击时的鲁棒性。随着深度学习模型被广泛集成到大型生产系统中，其个体缺陷可能被利用，进而引发系统层面的安全漏洞。作者以 Gmail 的恶意软件检测流水线为案例，该流水线依赖一个名为 Magika 的机器学习模型来识别文件类型，并据此将潜在恶意软件路由至不同的专用检测器以提升准确率和性能。Magika 已开源，使得攻击者可以针对其构造对抗样本：通过仅修改恶意软件样本中的 13 个字节，作者在 90% 的情况下成功欺骗 Magika，导致恶意软件被错误路由至不匹配的检测器，从而绕过 Gmail 的检测机制。随后，作者提出了相应的防御策略，使得在防御后的生产模型中，即使是资源充足的攻击者也需要 50 字节才能达到仅 20% 的攻击成功率。该防御已与 Google 工程师合作部署至 Gmail 分类器的生产环境中。本文的核心贡献包括：揭示生产系统中 ML 组件的脆弱性传导机制、提出具体可操作的对抗样本构造方法（但摘要未提供技术细节）、设计并部署了有效的缓解措施。适合安全研究员、ML 系统开发者以及关注对抗鲁棒性的安全工程师阅读。

该论文针对以太坊中的分布式随机数信标 RANDAO 协议进行了安全性分析，提出了"分叉 RANDAO"（Forking the RANDAO）攻击概念。RANDAO 是以太坊协议中用于产生不可预测随机数的机制，其安全性依赖于多个参与者提交随机数混淆值并最终揭露的流程，然而该机制存在潜在的操纵窗口。研究者深入探讨了 RANDAO 在设计上的缺陷，分析了攻击者如何利用以太坊网络分叉、延迟揭露、重排交易等方式影响最终随机输出，从而获利（例如在预言机、抽奖、区块提议者选举等随机性依赖场景中）。论文构建了形式化模型来描述攻击面，并通过模拟和实证数据评估了攻击的可行性与影响程度，展示了在特定条件下攻击者能够以显著概率偏置随机数生成结果。该研究不仅揭示了以太坊现有随机数机制的脆弱性，还讨论了可能的缓解方案，如 VDF（可验证延迟函数）的使用、协议改进或链下随机信标的替代方案。对于区块链安全研究者、以太坊核心开发者以及依赖链上随机性的 DApp 开发者而言，这篇论文提供了重要的理论参考和风险评估依据。

该论文针对互联网消息应用中隐私泄露分析困难的问题展开研究。作者指出，现有的静态分析技术通常只针对隐私的某个孤立方面（如机密性或匿名性），难以处理消息平台中多种隐私需求（如机密性、匿名性、不可关联性、用户同意）之间重叠甚至冲突的情况。为此，论文提出一个基于复合隐私模型的静态分析框架，该模型能够捕捉上述隐私需求之间的相互依赖关系，从而统一地对技术性隐私违规行为及其法律影响（例如违反数据保护法和数字权利）进行系统性识别。作者将该框架应用于消息平台中常用的实时通信服务器 Ejabberd（例如WhatsApp后端）进行案例研究，重点分析机密性和以同意为导向的隐私问题，包括用户知情权和删除权（被遗忘权）。实验结果表明，该方法能够有效桥接技术分析与法律问责之间的鸿沟，为消息平台的隐私合规审计提供了新思路。论文的主要贡献包括：一种复合隐私建模方法、对应的静态分析框架，以及在真实消息服务器上的验证。适合Privacy与Security交叉领域的研究人员、消息平台开发者以及关注数据合规的隐私工程师阅读。

本研究关注父母在社交媒体上分享子女照片（即“晒娃”）的隐私问题，探讨年轻成年人对父母在其童年时期分享照片行为的看法。研究背景是：越来越多的父母习惯在互联网上分享子女的照片，而这些照片可能在孩子成长过程中长期留存，引发隐私、尊严和数字身份等问题。核心研究问题是：当这些孩子长大成人后，他们如何评价父母的此类分享行为？研究采用质性或混合方法，对年轻成年人进行访谈或问卷调查，收集他们对自己童年照片被分享的经历、感受和态度。主要贡献包括：揭示了年轻人对“晒娃”行为的复杂态度，包括对隐私侵犯的担忧、对父母动机的理解、以及希望对自己数字形象有更多控制权的愿望；提出了在数字时代平衡父母分享意愿与子女隐私保护的建议。该研究为社交媒体平台、隐私政策制定者以及家长提供了参考，强调在分享儿童照片前应征求儿童意见或考虑其长期影响。适合关注社交媒体隐私、儿童权利、以及数字身份管理的研究人员、平台设计者和家长阅读。

无人机开源飞控 PX4-Autopilot堆栈溢出漏洞 CVE-2025-15150

MongoDB内存泄漏 CVE-2025-14847(MongoBleed)

1Panel 代理证书验证绕过导致任意命令执行漏洞(CVE-2025-54424)

ModelContext Inspector 未授权访问漏洞(CVE-2025-49596)

llamaindex SQL 注入漏洞(CVE-2025-1750)

Screen 本地权限提升漏洞(CVE-2025-23395)

Zabbix认证后SQL注入漏洞(CVE-2024-42327)

ProjectSend认证绕过漏洞(CVE-2024-11680)

PyTorch库RPC框架反序列化RCE漏洞(CVE-2024-48063)

Grafana认证后DuckDB-SQL注入漏洞(CVE-2024-9264)

SPIP BigUp Unauthenticated RCE(CVE-2024-8517)

Rejetto HFS 远程命令执行漏洞(CVE-2024-39943)

Apache HugeGraph-Server Command Execution In Gremlin（CVE-2024-27348）

Zabbix 后台延时注入(CVE-2024-22120)

CrushFTP 认证绕过漏洞（CVE-2024-4040）

Alert for CVE-2026-21992

Alert for CVE-2025-61884

Alert for CVE-2025-61882

Alert for CVE-2024-21287

Alert for CVE-2022-21500

Alert for CVE-2021-44228

Linux 内核提权 CVE-2026-31431(copy-fail)

Alert for CVE-2026-35273

该论文首次系统研究了针对CDN上HTTP/3协议的拒绝服务（DoS）攻击。研究背景是：CDN广泛部署HTTP/3以提高性能，但源站可能仍使用HTTP/1.1，这种协议异构性可能被攻击者利用。核心洞察是：当CDN使用HTTP/3接收客户端请求，而源站使用HTTP/1.1回源时，攻击者可以利用两种协议在请求处理、连接管理和流量转发上的差异，将少量针对CDN的HTTP/3流量放大为大量从CDN到源站的HTTP/1.1流量，从而对源站造成带宽或连接数的冲击。作者设计了两类攻击变体：HTTP/3带宽放大（HBA）和HTTP/3连接放大（HCA），分别针对带宽资源与连接数量。为了评估实际影响，他们基于Tranco Top 1M域名列表进行了大规模测量，识别出约42,330个子域可能易受这些攻击影响。研究还展示了负责披露流程，已向相关CDN厂商报告漏洞细节，其中两家厂商已确认漏洞并发放奖励，同时部署了作者提出的缓解措施。该研究填补了HTTP/3在CDN场景下DoS攻击研究的空白，揭示了协议转换带来的新攻击面，并为CDN厂商和源站提供了重要的安全参考。适合CDN安全研究、协议安全分析、DDoS防护方案设计人员以及关注HTTP/3生态的系统管理员阅读。

本文针对大型基础模型驱动的商业多模态内容审核 API 的鲁棒性进行了大规模黑盒评估。研究背景是：传统任务专用分类器在审核覆盖率和上下文理解上有限，而新兴的基于基础模型的多模态审核服务声称能提供更广泛、更强的安全过滤能力。作者选取了三家成熟的商业图像审核服务，在多个数据集、危害类别、感知相似性约束和变换强度下，系统评估了七种简单且与模型无关的图像变换（如颜色反转、灰度转换、旋转、模糊等）对审核结果的影响。实验发现：(1) 仅使用廉价的图像变换即可绕过全部三家商业服务，且无需梯度信息、替代模型或对目标系统的内部知识；(2) 即使是固定变换（如颜色反转和灰度化）也能导致“不安全”到“安全”的决策翻转，同时变换后的图像对人眼仍可识别；(3) 各服务的鲁棒性在不同数据集和危害类别上差异显著，其中多模态内容和自伤类内容表现出突出的脆弱性。作者由此得出结论：用基础模型 API 替代传统审核分类器并不能天然提供可靠的安全边界，必须在现实变换条件下评估此类系统，并将其作为分层审核流水线中的一个组件而非独立安全过滤器。该研究揭示了当前商用审核服务普遍存在的对抗脆弱性，对内容安全领域具有重要警示意义。适合安全研究员、内容审核平台开发者及大模型安全评估人员阅读。

本文研究脉冲神经网络（SNN）中的一种新型后门攻击——"时间投毒"（Temporal Poisoning），属于干净标签（clean-label）攻击范畴。与以往依赖脏标签（dirty-label）的后门攻击不同，该方法仅对目标类别的训练样本施加固定的时间戳变换，而不改变其标签。该变换在逐像素、逐极性的事件计数上与原始数据完全一致，因此在时间聚合后，干净样本与触发样本在静态特征上不可区分，但输入序列的时间顺序被改变，从而影响SNN的处理过程。研究者在三个神经形态数据集上，针对卷积架构和Transformer架构的受害者模型进行了实验，在最强配置下攻击成功率（ASR）达到1.00。论文通过投毒预算和触发形状的消融实验分析了攻击特性，并评估了多种已有的后门防御方法。结果表明，凡是在检查前将时间轴折叠（rate-collapsed）的防御方法，由于设计上忽略时序信息，对此攻击天然失效；基于特征空间的防御仅在特定设置下能够检测到异常。作者进一步提出一种无需模型（model-free）的检测器，基于逐步骤事件质量（per-step event mass）来识别时间变换，证明了该攻击的隐蔽性边界。据作者所述，这是首个针对SNN和神经形态事件数据的干净标签后门攻击研究。本文主要面向研究SNN安全、神经形态计算以及后门攻防的研究人员和安全从业者，有助于理解时间维度上的数据投毒风险。

这篇论文研究脉冲神经网络（SNN）在推理阶段面临的能耗安全威胁。SNN 通过稀疏的二值尖峰事件传递信息，相比传统人工神经网络在神经形态硬件上可实现极低能耗，因此常被用于持续运行、电池供电的边缘设备。然而，这种效率优势也带来新的攻击面：海绵攻击（sponge attack）可以通过精心构造的输入增加推理时的尖峰活动和突触计算量（SynOps），从而大幅提高能耗，同时由于模型输出类别未改变，基于正确性的监控难以察觉。以往对 SNN 的输入空间效率攻击主要针对逐样本优化，且多基于频率编码。本文将其扩展到原生事件驱动的二值输入，提出两种攻击模型：一是逐样本海绵攻击，通过梯度优化为每个输入定制对抗性尖峰序列，在 NMNIST、SHD 和 IBM DVS Gesture 三个数据集上，将三个 SNN 模型的每次推理 SynOps 提升 1.5-2.6 倍，同时至少 98% 的样本保持预测类别不变；二是首次提出针对原生事件驱动 SNN 输入的通用海绵攻击，即离线计算一个固定的二值扰动，通过 XOR 叠加到所有后续输入上。虽然通用攻击效果较弱（SynOps 提升 1.09-1.24 倍），但它无需逐输入优化，实际部署威胁更大。将 SynOps 增加映射到 Loihi-1 神经形态芯片的能耗估算，单次推理能量开销增加 14 μJ 到 13.24 mJ。实验表明，原生事件驱动 SNN 确实容易受到输入空间效率攻击，且可复用的通用扰动会持续累积能耗，对持续部署的边缘系统造成实质性电池消耗问题。

本文针对 6G 使能的医疗物联网（Healthcare IoT）场景中边缘网关的流量控制问题展开研究。在医疗物联网中，边缘网关不仅需要转发常规遥测数据，还必须保证罕见但时间敏感的报警消息的极低延迟。然而，即使是短暂的流量突发也可能导致最坏情况延迟显著增加，从而干扰紧急消息的传输。为此，作者提出了一种名为 NANOEDGEGUARD 的内核平面闭环控制器，该控制器部署在边缘网关的内核态，通过观察每个数据源的流量强度，并利用内核级流量控制钩子（traffic-control hooks）实施可审计的多级速率策略。与静态防火墙规则或用户空间控制回路相比，该设计优先保证快速动作，并通过滞回（hysteresis）机制实现显式恢复，同时记录策略转换过程以满足审计需求。实验环境基于树莓派网关作为 MQTT 代理，两个 ESP32 端点分别产生生命体征数据、报警消息和定时突发流量。结果显示，与用户空间防火墙基线相比，自适应内核平面速率控制将报警消息的第 99 百分位往返时延（RTT）降低了 13.3%，同时保持了与无控制时相当的 RTT 水平；与不实施控制相比，超额的突发流量接纳量减少了 46%。这些初步结果表明，在网关处实施自适应且可审计的执行机制能够提升医疗物联网的韧性，并有望在未来边缘智能中扩展为按需策略部署。该研究适用于关注边缘计算、物联网安全、服务质量保障、以及医疗系统可靠性的研究人员和工程师。

本文针对智能交通系统中基于图神经网络（GNN）的交通流量预测模型，重新审视了其对抗鲁棒性。作者认为先前研究采用的威胁模型不切实际，如假设攻击者拥有完整模型知识或进行全局非目标扰动，因此对攻击和防御的评估均有偏差。实际攻击者通常只能利用有限知识，监测并操纵少量路侧传感器，且攻击目标是局部的——例如使特定路段或路径的预测出现错误，导致行车时间误判或诱导绕行，而整个网络的其他部分几乎不受影响。这种定位明确的攻击在以往研究中未被充分探索，且现有防御如对抗训练，难以从训练时使用的范数有界扰动迁移到结构完全不同、符合物理拥堵规律的攻击上。为此，作者提出将鲁棒性问题视为检测任务：训练一个物理信息感知的检测器，其输出作为输入特征并入后续加固预测模型，同时在保持预测模型固定时对检测器进行自适应攻击训练。作者在多种模型架构和基准数据集上评估，结果显示物理感知攻击能让目标链路预测误差增大数倍而全局误差几乎不变，而针对范数有界扰动调优的对抗训练对此几乎无效。作者提出的检测-缓解防御在15个模型-数据集设置中的13个上超过直接用物理感知攻击进行对抗训练的模型，并在留出攻击上取得最大优势，同时几乎零干净性能损失。结果强调了在应用特定约束下审视抽象AI对抗攻击的必要性，以评估真实安全影响。

本文提出 Flock，一种基于哈希的 SNARK（简洁非交互式零知识证明）系统，旨在大幅加速大批量布尔计算（尤其是标准密码学哈希函数评估）的证明生成。在许多 SNARK 应用中，证明大量 SHA-256、Keccak、BLAKE3 等哈希评估是关键瓶颈。Flock 针对同一 R1CS 电路的批量证明进行优化，同时支持哈希链、Merkle 路径开证明，并可扩展至完整的哈希签名验证。其核心技术包括对 lincheck 和 zerocheck 协议的新优化，以及由编码智能体协同设计的激进优化的概念验证实现。实验表明，在 M4 Max 处理器单核上，Flock 每秒可证明 8.2 万次 BLAKE3 压缩函数评估、4.2 万次 SHA-256 压缩和 3 万次 Keccak 置换，开销仅为原生执行的约 250 倍；在十核上，吞吐量超过每秒 66 万次 BLAKE3 压缩。与当前最先进的 Binius64 相比，Flock 在 SHA-256 证明上快 9 倍以上，比最快的椭圆曲线 SNARK 快 500 倍以上。该工作显著降低了批量哈希证明的计算成本，可推动 SNARK 在区块链、可验证计算等场景中的实际部署。

本文介绍 HoF-Bench，一个由真实 AI 发现的 CVE 组成的基准测试集，旨在评估基于大语言模型（LLM）的漏洞分析器。背景：已有 LLM 分析器（如 AISLE 的 analyzer）在成熟开源项目中发现了超过 280 个真实 CVE，涉及 OpenSSL、curl、GnuTLS 等 78 个项目。HoF-Bench 从 AISLE 的公开 Hall of Fame 中选取 95 个此类 CVE，覆盖 8 个代码仓库，并固定到存在漏洞的提交版本。评估协议严格：分析器仅获得源码和目标文件范围，不提供 CVE 标识符、描述、修复补丁或预期漏洞机制；由检测器盲审的前沿模型裁判仅认可那些识别出相同代码路径、根本原因、攻击条件和影响的发现。作者设计了一个极简的 LLM 分析器，在严格协议下能重新发现 95 个 CVE 中的 65 个（68%）。研究中没有任何前沿模型参与检测，所有检测均由十个检测器骨干完成：五个开放权重模型（总参数 21B–284B，激活参数 3B–13B）和五个专有小/“flash”级模型，均在固定脚手架中运行，包含四次重复通过、可选的生成上下文阶段和可重放的多轮分流阶段（共 7,600 条模型-CVE 通过记录）。结果显示难度与编程语言密切相关：所有模型都漏掉的 CVE 集中在 C 基础设施代码中。HoF-Bench 为比较漏洞扫描器、评估其跨重复运行的可靠性以及生成的候选数量提供了一个紧凑的测试平台。数据集已公开在 Hugging Face 上。

本文提出了一种名为 InkShield 的主动式书写风格防御方法，旨在防止未经授权的手写体模仿攻击。近年来，手写文本生成器能够根据公开可获取的参考样本复制特定作者的书写风格，这可能导致文档伪造和身份盗用等风险。例如，攻击者可利用公开的手写笔记或签名样本，生成伪造的推荐信或授权表格，进而造成文件欺诈、身份滥用和误导性决策。已有的针对自然图像的编辑或合成防御手段难以直接迁移到手写风格模仿场景，因为这类方法通常针对具有复杂背景的自然图像优化扰动，且往往在全图像范围内添加扰动，而在稀疏的手写图像中，这种全局扰动会在空白背景区域显得十分突兀，严重损害视觉质量。为此，InkShield 在图像发布之前主动保护参考样本。其核心思路包括：首先选择一个诱饵书写者来定义风格位移方向；然后利用一个冻结的手写生成代理模型来优化扰动；最后将扰动限制在墨水笔画的边缘区域，以避免在空白背景上产生明显伪影。在 IAM 数据集上的实验表明，经过 InkShield 保护后，两个独立书写者评估器对生成样本检索为目标作者的平均 Top-1/Top-5 成功率分别从 11.94%/36.52% 降至 2.03%/8.79%。同时，保护后的参考图像与原始图像在感知上非常接近（LPIPS 0.0078），且生成的文本仍然可读。此外，InkShield 还表现出对其他手写生成器的可迁移性。总体而言，InkShield 为手写风格模仿提供了实用的防护手段。该研究面向计算机视觉、数字取证与隐私保护领域，尤其适合关注对抗性机器学习、生成模型安全以及文档真实性验证的研究人员和安全从业者阅读。由于仅基于论文摘要分析，具体技术细节和实验复现需查阅全文。

联邦学习（Federated Learning, FL）在边缘计算场景中因分布式训练特性而容易遭受后门攻击。现有防御方法往往忽略了两个关键因素：一是良性本地更新之间因统计异质性（statistical heterogeneity）而产生的偏差，二是后门攻击本身具有隐蔽性，导致防御效果有限。针对这些问题，本文提出 FedDAB，一种两阶段防御方法，将局部对比正则化（local contrastive regularization）与对齐检查（alignment checking）相结合。第一阶段，FedDAB 在本地目标函数中引入新的模型对比项（model-contrastive term），以增强良性更新在方向和幅度上的一致性，从而减少统计异质性的干扰。第二阶段，FedDAB 采用对齐检查策略，依据总体方向对齐（overall-direction alignment）和参数级对齐（parameter-level alignment）两个维度，结合历史信息评估每个本地更新，剔除呈现异常对齐模式的更新，使其不参与全局聚合。作者从理论上证明了 FedDAB 的鲁棒性，其收敛率为 O(1/T)。大量实验表明，FedDAB 在抵御后门攻击方面优于现有防御方法。本文适合关注联邦学习安全、后门攻击防御以及边缘计算场景下模型鲁棒性的研究人员和工程师阅读。

Traefik versions >= v3.7.0 and <= v3.7.7 contain a path traversal vulnerability in the Kubernetes Ingress NGINX provider's RewriteTarget middleware (generated from the nginx.ingress.kubernetes.io/rewrite-target annotation). When an Ingress path uses a regex that captures attacker-controlled text without requiring a path separator (e.g., path /api(.*) with rewrite target /$1), a crafted request suc

FreeRDP before 3.29.0 fails to enforce the RESPONSE_SIZE_LIMIT when processing Transfer-Encoding: chunked HTTP responses in http_response_recv_body(). Attackers controlling a malicious RD Gateway endpoint can send oversized chunked response bodies to exhaust client memory resources without triggering the configured size limit.

FreeRDP before 3.29.0 contains a buffer over-disclosure vulnerability in the gateway WebSocket transport (libfreerdp/core/gateway/websocket.c). The client's Pong reply reuses a fixed 1024-byte response stream whose length is not sealed to the actual received Ping payload, so a malicious gateway/WebSocket peer sending a non-empty Ping control frame causes the client to reply with an overlong Pong t

Allocation of Resources Without Limits or Throttling in ueberauth guardian allows denial of service via unbounded atom creation from attacker-controlled binary input. Guardian.Permissions.AtomEncoding encodes permission scopes by passing arbitrary binaries to String.to_atom/1. When encode/3 in lib/guardian/permissions/atom_encoding.ex is called with a list, each binary entry is handled by the enc

Allocation of Resources Without Limits or Throttling in ueberauth guardian allows denial of service via unbounded atom creation from attacker-influenced binary input. Guardian.Plug.Keys derives connection and session namespace keys by passing arbitrary binaries to String.to_atom/1. base_key/1 in lib/guardian/plug/keys.ex converts any binary into the atom :"guardian_", and the derived helpers clai

guzzlehttp/guzzle versions before 7.15.1 contain an information disclosure vulnerability in RedirectMiddleware. When the optional allow_redirects.referer setting is enabled, the middleware copies the URI fragment (the portion after '#') from the referring request into the generated Referer header when following a same-scheme redirect (e.g., HTTPS to HTTPS). An attacker who controls the redirect de

FreeRDP versions 3.28.0 and earlier contain a heap buffer overflow in the server-side RAIL channel handler (rail_server_handle_messages() in channels/rail/server/rail_main.c). When processing a RAIL PDU header, the code subtracts RAIL_PDU_HEADER_LENGTH from the peer-controlled orderLength field without first verifying orderLength is at least the header length. For orderLength values 0..3 this caus

FreeRDP before 3.29.0 (affected versions <= 3.28.0) contains a heap out-of-bounds read in update_process_glyph_fragments()/glyph_cache_fragment_put() in libfreerdp/cache/glyph.c. When handling a GLYPH_FRAGMENT_ADD update, the code reads a one-byte server-controlled declared fragment size but does not verify it fits within the remaining received buffer before allocating and copying that many bytes.

FreeRDP before 3.29.0 contains client-side heap use-after-free vulnerabilities in the async update message proxy for RAIL WINDOW_STATE_ORDER and NOTIFY_ICON_STATE_ORDER when AsyncUpdate is enabled. When a malicious or compromised RDP server sends crafted update orders, the message proxy shallow-copies structures containing nested parser-owned pointers (e.g., titleInfo.string, windowRects, visibili

FreeRDP before 3.29.0 contains a client-side heap use-after-free in the async update message proxy for WINDOW_ICON_ORDER when AsyncUpdate is enabled (e.g. xfreerdp /async-update). In update_message_WindowIcon() a shallow CopyMemory() overwrites a freshly allocated lParam->iconInfo with the parser-owned windowIcon->iconInfo pointer. After the parser callback returns, update_recv_window_info_order()

FreeRDP before 3.29.0 contains a null pointer dereference vulnerability in smartcard cache request decoders that accept NULL NDR pointers for LookupName in SCARD_IOCTL_READCACHEA and SCARD_IOCTL_WRITECACHEA operations. When smartcard emulation is enabled, attackers can send crafted smartcard cache requests with NULL lookup-name pointers to trigger strlen() on a null pointer, causing client process

FreeRDP before 3.29.0 contains a reachable assertion (WINPR_ASSERT(OutputBufferLength == BytesReturned)) in serial_process_irp_device_control() in channels/serial/client/serial_main.c. When serial device redirection is enabled and a server-controlled IRP_MJ_DEVICE_CONTROL request specifies an unsupported IOCTL with a non-zero OutputBufferLength, CommDeviceIoControl() can fail with BytesReturned =

FreeRDP before 3.29.0 fails to properly validate server-supplied RDPDR paths in drive redirection, allowing attackers to access prefix-sibling paths outside the configured shared root. A malicious RDP server can read, write, delete, and enumerate files in sibling directories by sending non-rooted paths that bypass the shared-root boundary check.

better-auth versions before 1.6.11 contain insecure cryptographic defaults in the oidcProvider and mcp plugins that advertise the none algorithm and accept plain PKCE by default. Attackers can exploit algorithm negotiation to accept unsigned tokens or intercept authorization codes when PKCE plain is used instead of the required S256 method.

GitPython before 3.1.50 fails to validate newline characters in the section parameter of config_writer(), allowing attackers to inject arbitrary section headers into .git/config. Attackers can inject newlines to create a forged [core] section with hooksPath pointing to attacker-controlled directories, achieving remote code execution when git hooks are triggered.

ArcadeDB before 26.7.2 (arcadedb-engine) allows trigger scripts to look up host classes in java.lang.* (via Java.type) because ScriptTriggerExecutor adds java.lang.* to the allowed packages. An authenticated user with UPDATE_SCHEMA permission can create a JavaScript trigger that invokes java.lang.Runtime.getRuntime().exec() (or ProcessBuilder), achieving OS command execution when the trigger fires

GitPython 3.1.50 fails to recognize joined short-option forms such as -u (the short form of --upload-pack=) when enforcing its default unsafe-option gate. When an application passes attacker-influenced clone options into Repo.clone_from(..., multi_options=..., allow_unsafe_options=False), an attacker can supply -u to bypass the gate that blocks --upload-pack/-u, causing Git to execute the specifie

ArcadeDB before 26.7.2 fails to enforce the UPDATE_SCHEMA database permission on the ALTER TYPE ... CUSTOM and ALTER TYPE ... BUCKETSELECTIONSTRATEGY SQL operations, which map to setCustomValue and setBucketSelectionStrategy in LocalDocumentType. An authenticated user with only read access (e.g., a read-only API token) can submit these ALTER TYPE statements via the HTTP command endpoint to mutate

@better-auth/stripe versions >= 1.4.11 and = 1.7.0-beta.0 and < 1.7.0-beta.10, contain an authorization bypass in organization subscription actions. The middleware validates the organization ID taken from the request query string against the authorizeReference callback, but the handler reads the organization ID only from the request body and falls back to the caller's active organization from thei

GitPython before 3.1.51 fails to guard against dangerous Git options passed as keyword arguments in Repo.archive() and git.ls_remote(), allowing command injection via options such as --exec/--upload-pack (leading to arbitrary command execution). Additionally, Repo.iter_commits() and Repo.blame() do not check for leading-dash revision arguments, so a revision like --output= can cause Git to open an

better-auth versions before 1.6.11 fail to delete cached sessions when removing users via admin, anonymous, or SCIM endpoints when secondaryStorage is configured and storeSessionInDatabase is false. Attackers can reuse deleted user session tokens to maintain authentication for up to seven days after account deletion.

better-auth versions before 1.1.20 contain a bypass vulnerability in trustedOrigins validation logic affecting absolute URLs and wildcard domains. Attackers can construct malicious callbackURL parameters that pass origin checks and trigger open redirects to steal sensitive tokens for account takeover.

FreeRDP before 3.29.0 contains an out-of-bounds heap read vulnerability in the UVC H.264 extension-unit parser that fails to validate descriptor length before accessing the GUID field. A local attacker with a malicious USB video camera can trigger a heap read beyond allocated bounds during camera stream setup, causing denial of service.

ArcadeDB versions before 26.7.2 fail to enforce scripting authorization checks on the SQL DEFINE FUNCTION statement with LANGUAGE js. Attackers with database access can execute arbitrary JavaScript code by submitting DEFINE FUNCTION statements, bypassing security controls intended to restrict scripting to administrators.

FreeRDP before 3.29.0 (affected versions <= 3.28.0) contains a divide-by-zero vulnerability in the rdpecam camera redirection client. ecam_dev_process_start_streams_request() parses a server-controlled CAM_MEDIA_TYPE_DESCRIPTION from a StartStreamsRequest PDU but validates only Format and Flags, not FrameRateDenominator. When a malicious or compromised RDP server sends a StartStreamsRequest with F

FreeRDP versions 3.28.0 and earlier contain an out-of-bounds read vulnerability in the RDP6 planar RLE bitmap decoder functions planar_decompress_plane_rle and planar_decompress_plane_rle_only in libfreerdp/codec/planar.c. Only the 1-byte control byte is bounds-checked; the subsequent 0–15 attacker-declared raw bytes are read without validating that the source buffer contains them. A malicious or

@better-auth/oauth-provider before 1.7.0-beta.4 fails to bind access-token audience to the authorization grant, allowing clients to request tokens for unrelated resources. Attackers can complete an OAuth flow and obtain access tokens whose audience targets resource servers the authorization never covered, bypassing intended authorization boundaries.

better-auth versions before 1.4.9 contain a two-factor authentication bypass vulnerability when session.cookieCache is enabled. Attackers with valid primary credentials can access authenticated routes without completing second-factor verification by exploiting premature session caching.

OpenRemote (org.openremote:openremote) versions <= 1.26.2 contain an insecure direct object reference vulnerability in the setAssetLinks endpoint of AlarmResourceImpl. The realm access check validates only a single realm obtained via realms.stream().findFirst() on a HashSet of realms from the request, rather than all realms. Because HashSet iteration order is non-deterministic, an authenticated at

FreeRDP before 3.29.0 (affected versions <= 3.28.0) does not validate CRLF and control characters in the server-controlled RDP redirection TargetNetAddress field. This value is copied into the client's ServerHostname and, when the client connects through an HTTP proxy, is written directly into the proxy CONNECT request line and Host header by http_proxy_connect() without filtering. A malicious or

better-auth versions >= 1.1.3 and = 1.7.0-beta.0 and < 1.7.0-beta.10) are vulnerable to account takeover via pre-account hijacking on magic-link and email-OTP sign-in when open email/password registration is enabled. An attacker registers an account with the victim's email address and an attacker-chosen password; the account remains unverified. When the legitimate owner later signs in via the magi