Winter: Stored XSS through Backend List widget image columns
### Impact `Backend\Widgets\Lists::evalImageTypeValue()` interpolated the resolved image URL into a single-quoted `src`
2026-08-22 归档
今日共收录 1353 条安全情报，包含 493 个 CVE，458 篇安全通告，以及 108 篇研究论文。
← 返回归档列表AGFlow 三洞审计：补丁追着漏洞跑，有个版本掉队了
AGFlow 三洞审计：补丁追着漏洞跑，有个版本掉队了
Windows11 0day内核提权漏洞分析与利用（CVE-2026-62737）
CVE-2026-62737
Windows11 0day内核提权漏洞分析与利用（CVE-2026-62737）
Hackers Target Zimbra Servers in Active Exploitation Campaign
CVE-2026-73570
Exploitation of the Zimbra Collaboration vulnerability CVE-2026-73570 has been observed by Poland’s CERT Polska. The pos
GitLab CVE-2026-19478 Comes Under Active Exploitation Within Days of Disclosure
CVE-2026-19478
A newly disclosed security flaw in GitLab has come under active exploitation within days of public disclosure, according
COMA: A Compositional Misleading Attack Class on Security-RAG, and a Causal Counterfactual Defense
该论文研究检索增强生成（RAG）在安全运营中心（SOC）分析师面向上机助手（copilot）场景中的安全漏洞。作者发现并定义了一类名为 COMA（Compositional Misleading Attack）的攻击：即使每个检索到的文档都
Malformer: A Multi-Modal Malware Detector Using Transformers
本文提出了一种名为 Malformer 的多模态恶意软件检测模型，旨在解决传统恶意软件检测系统因仅依赖单一表示（模态）而难以识别新型威胁的问题。传统方法通常只使用二进制文件的某一种表示形式，例如原始字节序列、图像或操作码序列，但单一模态提供
IriSig-Spoof: A Real-World Benchmark for Time-Robust Satellite RF Fingerprinting and Spoofing Detection
本文提出并发布了一个面向低地球轨道（LEO）卫星物联网的现实世界基准数据集 IriSig-Spoof，用于评估射频指纹（RFF）技术在卫星信号识别与欺骗检测中的时间鲁棒性。研究背景是：LEO 卫星互联网正成为关键通信基础设施，但开放无线链路
TENET: Telegram Mini App (in)security
Telegram 作为一款拥有超过4.5亿日活跃用户的通讯应用，推出了在客户端内直接运行的网页应用——Mini Apps。然而，这种集成引入了显著的安全风险。本文通过系统研究发现，许多 Mini App 将认证材料（如会话令牌和钱包助记词）
Securing Filesystems for Confidential Computing
机密计算（Confidential Computing）通过可信执行环境（TEE）保护应用运行时，但持久存储的完整性长期被忽视。磁盘加密无法抵御恶意云提供商发起的回滚、重放、分叉或篡改攻击，这些攻击会破坏有状态应用的状态一致性与新鲜性。现有
Software Defined Networks Key Relay for Large-Scale Quantum Key Distribution Networks
本论文针对大规模量子密钥分发网络（QKDN）的编排问题，提出利用软件定义网络（SDN）进行统一管控。研究基于ETSI和ITU的相关规范，梳理了QKDN的常用最佳实践与架构。SDN控制器作为核心组件，负责从全网聚合技术性关键性能指标（KPI）
Inadvertent Context Leakage in Language Models
本文研究大型语言模型（LLM）在上下文中保存敏感信息时的隐私泄漏问题。随着AI助手从简单聊天扩展到处理日历、凭证、健康记录和财务数据等敏感上下文，这些秘密可能以隐蔽方式影响模型的正常输出，即使模型拒绝直接泄露。作者提出了一种新的自适应攻击方
A 12-Step Process for Industrial Internet of Things (IIoT) Forensics
该论文针对工业物联网（IIoT）在关键基础设施领域（如制造业、医疗、交通运输）的快速部署所引发的数字取证（DF）新挑战，提出了一套专门面向IIoT环境的十二步取证流程（TSP）。传统数字取证方法难以应对IIoT环境的复杂性、规模性和异构性，
Copy-Protection with Correlated Challenges: Point Functions and More via Decisional Coset Monogamy
该论文研究量子计算中的复制保护（copy-protection）问题，核心目标是让一个功能（functionality）编码在可复用量子态中，但该量子态不能被分裂成两个（即“不劳而获”敌手所持有的）同时可用的状态。先前普通模型（plain
CryptDough: A Unified Analytics Engine for Secure Multiparty Computation
CryptDough 是一个面向安全多方计算（MPC）的统一分析引擎，由来自波士顿大学等多机构的研究者提出。在传统 MPC 解决方案中，系统通常只支持单一威胁模型或单一工作负载类型（如关系查询、时间序列分析或机器学习推理），这使得跨域联合分
Chameleon: Robust Defense Against Tor Website Fingerprinting via Many-to-Many Traffic Morphing
网站指纹识别（Website Fingerprinting, WF）攻击能够利用加密 Tor 流量的侧信道特征推断用户正在访问的网页，从而破坏匿名性。尽管已有许多 WF 防御方案，本文发现大多数现有防御都会产生可学习的网页流量映射特征，导致
Privacy-Preserving Detection of Rare Disease-Associated Cell Subsets via Secure Multi-Party Computation
本文提出了一种基于安全多方计算（MPC）的隐私保护框架，用于在敏感的单细胞数据上训练和推理CellCnn模型，从而检测稀有疾病相关的细胞亚群。CellCnn是专为此任务设计的卷积神经网络，能够识别频率低至0.01%的罕见细胞群，对理解白血病
A Meta-Study on Replication Papers in Usable Security & Privacy
本文是一篇关于可用安全与隐私（usable security and privacy）领域中复制研究（replication studies）现状的元研究。该领域虽然年轻且快速发展，但在研究标准（尤其是复制研究）方面尚未成熟。作者采用混合方
Tracking the Trend in How Speech Synthesizers Deceive People
该研究聚焦于语音合成技术快速发展背景下，人类对深度伪造音频的检测能力是否仍然可靠。以往研究（如 70-80% 的检测准确率）主要基于较早的合成器，结论可能已不适用。作者选取了分别于 2019 年、2022 年和 2024 年发布的三款代表性
TGL-APT: Temporal Graph Learning with Graph Distillation for Efficient APT Investigation
本文提出了一种名为 TGL-APT 的自适应调查框架，用于解决高级持续性威胁（APT）检测与调查中面临的挑战。APT 攻击具有隐蔽性、多阶段特性，传统检测方法难以奏效。虽然来源图（provenance graph）能为攻击调查提供丰富的行为