To Err.Is Human: Characterizing the Threat of Unintended URLs in Social Media.
该论文首次系统性地研究了社交媒体中‘无意URL’（Unintended URLs）所构成的安全威胁。所谓无意URL，是指用户由于复制粘贴操作失误、输入法误触、自动纠错或文本截断等原因，在发布内容时意外附带的多余字符、错误域名片段或残缺链接。
2026-08-19 归档
今日共收录 2403 条安全情报，包含 1575 个 CVE，408 篇安全通告，以及 120 篇研究论文。
← 返回归档列表Abuse Vectors: A Framework for Conceptualizing IoT-Enabled Interpersonal Abuse.
该论文提出了一个名为“Abuse Vectors”的框架，用于系统化地概念化物联网（IoT）设备在人际虐待（Interpersonal Abuse, IPA）情境下被滥用的方式。研究背景是：随着智能家居设备的普及，施虐者可能利用这些设备对受
"It's the Equivalent of Feeling Like You're in Jail": Lessons from Firsthand and Secondhand Accounts of IoT-Enabled Intimate Partner Abuse.
本研究针对物联网（IoT）设备——包括智能音箱、摄像头、门锁、恒温器等——被恶意伴侣滥用于亲密伴侣暴力（Intimate Partner Abuse, IPA）的现象，进行了深入的定性研究。作者通过对亲身经历者和二手经历者（如受害者的朋友、
"My Privacy for their Security": Employees' Privacy Perspectives and Expectations when using Enterprise Security Software.
该论文针对企业安全软件（如端点监控、行为分析、数据防泄漏等）在提升组织安全性的同时可能侵犯员工个人隐私这一矛盾，开展了一项以员工为中心的隐私感知与期望研究。研究采用问卷调查和/或半结构化访谈的方法，收集了不同行业、不同岗位员工对于企业部署安
Awakening the Web's Sleeper Agents: Misusing Service Workers for Privacy Leakage.
该论文提出并系统性地研究了一种新型的隐私泄露攻击面——滥用 Service Worker（服务工作线程）作为“潜伏代理”，在用户浏览网页时长期、隐蔽地泄露敏感数据。Service Worker 是浏览器提供的独立于页面的后台脚本机制，具有拦
Доверя'й, но проверя'й: SFI safety for native-compiled Wasm.
本文提出了一种在原生编译的 WebAssembly（Wasm）上实现软件故障隔离（SFI）安全保证的方法。研究背景在于，WebAssembly 最初设计为在浏览器中以解释或 JIT 方式运行，其内存安全依赖于运行时检查；然而随着 Wasm
Trust the Crowd: Wireless Witnessing to Detect Attacks on ADS-B-Based Air-Traffic Surveillance.
ADS-B（自动相关监视-广播）已成为空中交通监视的事实标准，所有飞机被要求主动广播包含身份、位置和运动信息的报文。然而，ADS-B缺少安全机制，使其容易遭受有能力的攻击者的网络攻击，从而危及航空安全。本文提出一种非侵入式的信任评估系统，用
Verbatim: A Verified Lexer Generator.
本文提出并实现了一个名为 Verbatim 的可执行词法分析器（lexer），其开发和验证均基于 Coq 证明助手。词法分析器和解析器常被用作大型软件系统的前端，负责连接外部输入与系统内部逻辑，因此成为攻击者试图攻陷整个系统的天然目标。作者
Doing good by fighting fraud: Ethical anti-fraud systems for mobile payments.
本文对移动支付应用中的反欺诈安全挑战（step-up authentication）进行了首次大规模伦理与公平性测量研究。作者以真实生产环境中的现有反欺诈系统 Boxer 为基础，在 5,085,444 台真实设备、496 个真实应用上收集
FORAY: Towards Effective Attack Synthesis against Deep Logical Vulnerabilities in DeFi Protocols.
本文针对去中心化金融（DeFi）协议中深度逻辑漏洞的自动化攻击合成问题展开研究。随着区块链应用普及，DeFi 协议管理的数字资产价值巨大，成为攻击者的首要目标。现有智能合约漏洞检测工具在处理 DeFi 协议时面临严峻挑战：这类协议通常涉及多
Exploiting Temporal Vulnerabilities for Unauthorized Access in Intent-based Networking.
该论文针对意图驱动网络（Intent-based Networking, IBN）中的授权控制问题进行安全研究。IBN允许网络管理员仅表达高层目标和策略，而无需关心底层转发的具体配置、拓扑或协议细节；系统会自动将意图编译为低层配置并部署到网
"Better Be Computer or I'm Dumb": A Large-Scale Evaluation of Humans as Audio Deepfake Detectors.
该论文针对音频深度伪造检测这一日益严峻的安全问题，首次开展了大规模的人类识别能力评估研究。随着语音合成与声音克隆技术的快速发展，深度伪造音频已被用于电信诈骗、虚假信息传播等恶意场景，传统自动检测模型虽然取得一定进展，但人类作为最终决策者的听
Revisiting the Pervasiveness of Weak Keys in Network Devices.
本文重新审视了网络设备中 RSA 弱密钥的普遍性问题。自 2012 年以来，多个学术团队报告了互联网 HTTPS 主机 RSA 密钥中的漏洞，并将其归因于多种弱点（如素数选取不当、共享素数、熵源不足等）。2016 年的一项后续研究通过分析大
LibreNMS: Stored XSS via graph_descr admin config settings echoed without escaping to all authenticated users
### Summary The `graph_descr.` family of settings is echoed verbatim without `htmlspecialchars()` in `includes/html/page
LibreNMS Vulnerable to Remote Code Execution via AboutController
# Remote Code Execution via AboutController in LibreNMS ## Summary A Remote Code Execution (RCE) vulnerability exists
MeshCentral has unsanitized data fields
### Description A rogue or compromised MeshAgent can inject arbitrary HTML/JavaScript via the osdesc (OS description) f
无人机开源飞控 PX4-Autopilot堆栈溢出漏洞 CVE-2025-15150
CVE-2025-15150
无人机开源飞控 PX4-Autopilot堆栈溢出漏洞 CVE-2025-15150
MongoDB内存泄漏 CVE-2025-14847(MongoBleed)
CVE-2025-14847
MongoDB内存泄漏 CVE-2025-14847(MongoBleed)
1Panel 代理证书验证绕过导致任意命令执行漏洞(CVE-2025-54424)
CVE-2025-54424
1Panel 代理证书验证绕过导致任意命令执行漏洞(CVE-2025-54424)
ModelContext Inspector 未授权访问漏洞(CVE-2025-49596)
CVE-2025-49596
ModelContext Inspector 未授权访问漏洞(CVE-2025-49596)