From Perception to Protection: A Developer-Centered Study of Security and Privacy Threats in Extended Reality (XR).
本研究针对扩展现实（XR）应用中的安全与隐私（S&P）威胁，首次从开发者视角开展威胁感知研究。XR的沉浸式特性引入了传统安全范式难以缓解的全新挑战，例如丰富的传感器数据采集、用户生成内容界面等，而开发者作为XR应用的主要构建者，其认知和应对
2026-08-17 归档
今日共收录 803 条安全情报，包含 111 个 CVE，370 篇安全通告，以及 71 篇研究论文。
← 返回归档列表MetaFly: Wireless Backhaul Interception via Aerial Wavefront Manipulation.
该论文首次系统性地揭示了毫米波/太赫兹回传链路对空中超表面攻击的脆弱性。随着5G及未来网络部署，无线回传链路被广泛用于关键基础设施（如华尔街金融交易），其安全性至关重要。作者提出了一种名为MetaFly的新型攻击架构：攻击者Eve利用轻量级
Seamlessly Insecure: Uncovering Outsider Access Risks in AiDot-Controlled Matter Devices.
本文针对新兴的物联网互操作标准 Matter 进行了安全研究。Matter 旨在统一碎片化的 IoT 生态，实现设备间的无缝互操作。然而，作者分析了多款支持 Matter 的商业设备，发现制造商在设备配网（commissioning）流程的
Large-Scale Study of Vulnerability Scanners for Ethereum Smart Contracts.
以太坊智能合约是运行在区块链上的自治去中心化应用，常常管理着价值数百万美元甚至更多的数字资产，因此成为网络攻击的主要目标。仅在2023年，由智能合约漏洞导致的直接经济损失就超过了十亿美元。为了应对这些威胁，学术界和商业界开发了多种漏洞扫描工
DisARMed: Attacking ARM TrustZone from Userspace with Memory Aliasing.
本文介绍名为 DisARMed 的攻击研究，目标是从用户空间绕过 ARM TrustZone 硬件隔离。ARM TrustZone 通过划分普通世界与安全世界，为敏感计算提供可信执行环境。文中核心攻击向量是内存别名（memory alias
Flash [Re]Loaded: Body Bias Injection on Flash Memory.
该论文以闪存（Flash）存储设备为对象，探讨了一种名为 Body Bias Injection（体偏置注入）的硬件级攻击技术。研究背景在于，闪存被广泛用于固件存储、安全密钥保存和启动代码持久化，其物理安全性直接关系到设备整体信任根。体偏置
Tickets to Hide: An Inside Look into the Anti-Abuse Ecosystem through Internal Abuse Data.
该论文通过一项与荷兰执法部门的独特合作，获得了对一家以滥用问题著称的托管服务提供商内部运营后台的访问权限，从而首次在真实运营层面观察了反滥用生态系统内部的处理机制。研究旨在回答一个核心问题：不同类型的滥用举报在托管服务提供商处究竟获得了何种
The Heat is On: Understanding and Mitigating Vulnerabilities of Thermal Image Perception in Autonomous Systems.
本文研究自动驾驶系统中热成像感知模块的安全性，重点关注热成像摄像头在物理世界攻击下的脆弱性。作者首先系统性地分析了热成像感知在自动驾驶中的应用场景，包括行人检测、车辆检测和障碍物识别等，并指出热成像传感器虽在低光照条件下具有优势，但其物理特
On Borrowed Time: Measurement-Informed Understanding of the NTP Pool's Robustness to Monopoly Attacks.
该论文针对NTP Pool这一全球分布式网络时间同步基础设施的稳健性问题展开测量研究。NTP Pool由大量自愿加入的时间服务器组成，通过DNS轮询机制将客户端请求分发到各服务器，其安全和可用性至关重要。研究聚焦于一种潜在的单点故障风险——
Nightshade: Prompt-Specific Poisoning Attacks on Text-to-Image Generative Models.
该论文针对基于扩散模型的文生图模型，提出了一种名为 Nightshade 的提示词特异性投毒攻击方法。研究背景是：扩散模型通常在数十亿张图像上训练，传统的数据投毒攻击往往需要污染近 20% 的训练样本才能生效，因此被认为对这类模型几乎无效。
eAudit: A Fast, Scalable and Deployable Audit Data Collection System.
该论文针对现代高级网络攻击中审计日志采集系统存在的性能与安全问题展开研究。作者首先通过实验评估了当前主流的审计数据采集工具（如Linux auditd、sysdig以及其他研究原型），发现它们普遍存在三大缺陷：一是运行时开销过高，可使工作负
Breaking Infrared Recapture Detection: Optical-Synthesis Attacks and Depth-Aware In-Sensor Countermeasures.
本文针对基于红外成像的重放攻击检测机制，提出了一种新型的光学合成攻击方法，并设计了一种深度感知的传感器内对策。在基于摄像头的身份认证、活体检测等安全场景中，红外摄像头常被用于区分真实人体与照片或视频重放。现有检测手段多依赖光谱特性、反射模式
（总）网出证（京）字第281号
本条目来源于360CERT安全报告页面，但其正文摘要为空，仅有标题字段“（总）网出证（京）字第281号”，该标题疑似为中国工信部ICP备案许可证编号，而非真正的安全报告标题。源URL指向360.cn的licence页面，进一步印证该条目标题
无人机开源飞控 PX4-Autopilot堆栈溢出漏洞 CVE-2025-15150
CVE-2025-15150
无人机开源飞控 PX4-Autopilot堆栈溢出漏洞 CVE-2025-15150
MongoDB内存泄漏 CVE-2025-14847(MongoBleed)
CVE-2025-14847
MongoDB内存泄漏 CVE-2025-14847(MongoBleed)
1Panel 代理证书验证绕过导致任意命令执行漏洞(CVE-2025-54424)
CVE-2025-54424
1Panel 代理证书验证绕过导致任意命令执行漏洞(CVE-2025-54424)
ModelContext Inspector 未授权访问漏洞(CVE-2025-49596)
CVE-2025-49596
ModelContext Inspector 未授权访问漏洞(CVE-2025-49596)
llamaindex SQL 注入漏洞(CVE-2025-1750)
CVE-2025-1750
llamaindex SQL 注入漏洞(CVE-2025-1750)
Screen 本地权限提升漏洞(CVE-2025-23395)
CVE-2025-23395
Screen 本地权限提升漏洞(CVE-2025-23395)
Zabbix认证后SQL注入漏洞(CVE-2024-42327)
CVE-2024-42327
Zabbix认证后SQL注入漏洞(CVE-2024-42327)