今日共收录 1886 条安全情报，包含 1062 个 CVE，406 篇安全通告，以及 120 篇研究论文。
← 返回归档列表蜂窝网络协议（如4G/5G）的规范文档通常以自然语言编写，安全分析师需要从这些非形式化描述中手工提取协议状态机，以进行安全分析和漏洞挖掘。这一过程极为耗时且容易出错，阻碍了大规模系统性安全评估。本文提出 Hermes，一个端到端框架，能够自
本文介绍 Argus，一个针对 PHP 应用程序的静态分析工具，旨在检测注入类漏洞（如 SQL 注入、命令注入等）。该工具的核心创新在于将所有可能的注入汇聚点（sink）纳入分析范围，而不仅仅是常见函数，从而减少漏报。作者提出了一种自动化方
该论文研究网络拓扑混淆（Network Topology Obfuscation）技术的安全性，提出一种名为CrossPoint的新型攻击方法，能够在拓扑混淆环境下仍准确推断网络拓扑结构。传统上，防御方通过地址重写、路由扰动、虚拟节点注入等
本文研究蜜词（honeywords）在凭证数据库泄露场景下的有效性，重点关注攻击者已掌握同一用户在其他网站密码的威胁模型。蜜词是添加到凭证数据库中的诱饵密码，若攻击者使用蜜词登录，则表明该网站凭证数据库已泄露。作者首先证明，对于用户自选密码
本文提出了一种名为干预式根因分析（IRCA）的新方法，用于定位自动驾驶系统（ADS）中多传感器融合（MSF）感知系统发生故障的根本原因。自动驾驶系统高度依赖多传感器融合来提升环境感知的准确性，但融合过程无法完全消除不确定性，多个模块的故障会
交通标志识别（TSR）系统对于安全、正确的自动驾驶至关重要。近年来，学术界对TSR模型的物理世界对抗攻击研究显示出这类攻击具有低成本、高可部署性，并能造成严重后果（如隐藏关键交通标志或伪造虚假标志）。然而，现有研究大多仅在学术模型上评估攻击
该论文针对安全检测中日益严峻的规避攻击问题，提出了一种名为“语义保持的命令重新实现”（Semantics-Preserving Command Re-Realization）的技术。在攻击链条中，恶意操作往往通过命令行执行，入侵检测系统（I
App-in-App（应用内应用）生态系统，如微信小程序、支付宝小程序、快应用等，已成为移动互联网的重要入口。这类生态允许开发人员利用平台提供的模板套件快速构建应用，无需从零开始，这极大地提升了开发效率与部署速度。然而，模板开发也可能引入系
联邦学习（Federated Learning, FL）通过在不共享原始数据的情况下协作训练模型，能够保护数据隐私、降低通信开销，并利用多样化的数据源提升模型性能。然而，FL 面临多种安全威胁，包括无目标投毒攻击（untargeted po
该论文针对在线开发者论坛和社区中关于"可用且安全认证"建议的质量与一致性进行定性研究。作者收集并分析了大量面向开发者的在线讨论、教程和问答帖子，重点关注这些建议是否同时兼顾了安全性与用户体验。研究发现，开发者经常获得相互矛盾或缺乏上下文的认
本文针对GDPR等数据保护法规在遗留软件系统上的合规改造难题，提出了一种基于信息流追踪的通用数据保护运行时方案。作者首先从GDPR法规中提炼出十二条软件层面的合规要求，涵盖数据最小化、目的限制、存储限制、数据主体权利等核心原则，并论证了这些
本文标题为'UBA-Inf: Unlearning Activated Backdoor Attack with Influence-Driven Camouflage'，提出了一种名为UBA-Inf的新型后门攻击方法。根据标题推测，该攻击
该研究围绕风险认证（Risk-based Authentication, RBA）通知的用户感知与反应展开。随着在线账户攻击日益频繁，许多服务引入RBA机制，通过判断登录上下文的风险等级触发额外验证或告警。然而，用户对这些通知的认知度偏低、
本文针对 Web 应用依赖数据库持久化时因竞态条件导致的安全漏洞展开研究。业界普遍认为将相关数据库操作封装在事务中即可解决此类问题，但作者指出，这种依赖往往被错误地信任。事务的隔离特性取决于数据库管理系统（DBMS）的配置，而常见 DBMS
本次提交的威胁情报记录声称来自360CERT安全报告，但数据中仅包含标题、来源URL、发布时间和标签，未提供任何正文或摘要。标题为“京ICP证080047号[京ICP备08010314号-6]”，该格式是中国工信部ICP备案/许可证号，并非
### Summary `claude-faf-mcp` MCP tools accept a caller-controlled `path` argument and resolve it (`~` expansion + `path.
### Summary `faf-mcp` MCP tools accept a caller-controlled `path` argument and resolve it (`~` expansion + `path.resolve
### Summary Several `grok-faf-mcp` MCP tools accept a caller-controlled `path` argument and resolve it (`~` expansion +
### Summary The `graph_descr.` family of settings is echoed verbatim without `htmlspecialchars()` in `includes/html/page
CVE-2025-15150
无人机开源飞控 PX4-Autopilot堆栈溢出漏洞 CVE-2025-15150