该论文对 Apple AirDrop 和 Google/Samsung Quick Share 两种近场文件传输协议进行了首次跨平台的逆向工程与协议感知模糊测试研究。这两种协议被超过 50 亿台设备使用，但由于实现均为专有且未公开文档，其应用层安全特性此前几乎没有被系统研究过。论文指出，这两类协议无需任何预先配对即可从无线近场范围触达，并在特权守护进程中处理复杂的序列化内容（二进制 plist、CPIO 归档、Protocol Buffers、UKEY2 握手），因此可能成为跨多个操作系统的零点击攻击面。作者通过二进制分析重构了 AirDrop 的七层状态机和 DVZip 自适应压缩算法，构建了协议感知模糊测试工具 AirFuzz，该工具能够变异压缩前的表示形式；同时对 Samsung Quick Share 服务和 Google Quick Share for Windows 进行了针对性的手工分析。研究共发现六个漏洞（V1-V6）：三个 macOS/iOS AirDrop 的预认证问题（V1：HTTP 路径路由器中的 Swift fatalError 拒绝服务；V2：Foundation 中无界 XML plist 递归；V3：Network.framework 的 HTTP/1.1 解析器中的空指针解引用）；两个 Samsung Quick Share 的协议层缺陷（V4：预认证 OfflineFrame 分发；V5：三种帧类型的 D2D 加密绕过）；以及一个 Google Quick Share for Windows 中的堆释放后使用漏洞（V6），该漏洞获得了 Google 的漏洞奖励。所有发现均已负责任地披露，Apple、Samsung 和 Google 已确认报告。AirFuzz 工具已在 Zenodo 上公开以支持可复现性。

网络安全研究人员发现了一系列针对欧洲政府与外交机构的新攻击活动，涉及罗马尼亚、西班牙和土耳其三国，时间跨度从2025年9月下旬持续至2026年4月上旬。这些攻击活动由Recorded Future Insikt Group在调查中披露，并被认为与APT28组织（又称奇幻熊）相关联。攻击活动部署了一个此前未被记录的后门程序，命名为HOOKEDGE。该后门是一个轻量级的Windows批处理脚本，可能通过多种途径分发，但公开报道中并未具体说明其投递方式。HOOKEDGE的存在表明攻击者仍在开发新型工具，以针对高价值目标进行间谍活动。目前，该后门的具体功能、持久化方式以及数据外传渠道等信息尚不明确。安全团队应密切关注相关区域内的异常行为，并考虑基于已有报告进行威胁狩猎。由于缺乏IOC和详细技术指标，对防御者而言，重点在于提高对可疑脚本执行的监控和审查，并加强对政府与外交机构的网络安全防护。

Wazuh is an open-source security platform providing unified XDR and SIEM protection for endpoints and cloud workloads. In versions 4.2.0 through 4.14.6, multiple active response scripts pass attacker-influenced alert fields to privileged system commands without validating their format, allowing argument injection into tools that run as root. Five of the eight scripts that handle the srcip field, r

Wazuh is an open-source security platform providing unified XDR and SIEM protection for endpoints and cloud workloads. The  ip-customblock  active response script contains a path traversal vulnerability that lets an attacker create or delete arbitrary files on the filesystem as root. The script builds a file path by concatenating the  srcip  field taken from alert JSON directly onto the fixed  /ip

Ceph is an open-source distributed storage platform providing object, block, and file storage. In versions prior to 20.2.4 and 19.2.6, the Ceph Object Gateway (RGW) SigV4 handler does not reject requests that carry x-amz-* headers absent from the signed header set, allowing anyone holding a presigned URL to attach arbitrary unsigned x-amz-* headers that RGW will honor. AWS S3 requires every x-amz-

Ceph is an open-source distributed storage platform providing object, block, and file storage. In versions prior to 20.2.4 and 19.2.6, the RADOS Gateway (RGW) protects STS session tokens with an AES-128-CBC handler that provides no message authentication, allowing an attacker who holds any valid STS token to tamper with it undetected and escalate to full RGW administrative access. Because the ciph

FastGPT is an open-source LLM platform for building AI applications on a knowledge base. In versions prior to 4.15.2, the WeChat (iLink) share-channel endpoints authorize requests using only the public shareId, with no authenticated identity or team-ownership check. As a result, an unauthenticated attacker who knows a victim team's shareId can take that team's WeChat bot offline or hijack the chan

openssl_encrypt before 1.4.9 fails to sanitize the email field of imported identity documents, allowing attackers to inject ANSI escape sequences that forge the fingerprint verification line displayed to users. Attackers can deliver a crafted identity bundle through normal contact-exchange flows or keyserver responses to manipulate terminal output and display a fraudulent fingerprint, bypassing th

The OpenFaaS gateway registers GET /system/telemetry in gateway/main.go and, when basic_auth is enabled, wraps each administrative /system/* handler in auth.DecorateWithBasicAuth. TelemetryHandler was left out of that wrap block from 0.27.11, which introduced the route, until 0.27.14, which added it. On an affected gateway the route therefore reaches the forwarding proxy with no credential check a

APITable through 1.13.0-beta.1 annotates both getUserHistories and closePausedUserAccount in InternalUserController with requiredLogin = false. ResourceInterceptor honours that annotation by returning before any session or API key is validated, and the nginx gateway shipped with the product proxies every /api request to the backend server, so both endpoints are reachable by any unauthenticated cli

APITable through 1.13.0-beta.1 annotates the create handler of InternalNotifyController with requiredLogin = false. ResourceInterceptor honours that annotation by returning before any session or API key is validated, and the nginx gateway shipped with the product proxies every /api request to the backend server, so POST /api/v1/internal/notification/create is reachable by any unauthenticated clien

## Impact When a connection is upgraded with STARTTLS, aiosmtplib reads the server's 220 go-ahead reply and immediately performs the TLS handshake without discarding any data still sitting in the receive buffer. Bytes the protocol read off the plaintext socket before the handshake survive across the plaintext→TLS boundary (the asyncio transport is swapped in place, so the protocol object and its

Ivanti Endpoint Manager Mobile代码注入漏洞

Yokogawa YFGW410 gateway

2026年8月27日，BleepingComputer发布了一篇面向中小型企业（SMB）的防御性文章，由ESET公司阐述威胁研究与托管检测与响应（MDR）服务如何协同增强企业安全能力。文章核心观点是：威胁研究能够帮助企业安全团队了解攻击者的操作方式、常用工具和战术意图，而MDR服务则将这些情报转化为更快速的检测和响应动作。通过将威胁情报、持续监控和人工专家经验相结合，SMB可以弥补自身在安全人员和技能上的不足，建立更具主动性的防御体系。文中特别提及了勒索软件攻击（如Conti勒索软件家族）的常见威胁场景，但并未披露具体攻击事件、CVE漏洞或入侵指标（IOC）。文章主要面向缺乏大型安全团队的中小企业，建议其借助外部MDR服务来收集威胁情报、开展端点检测与响应（EDR）、进行安全日志分析，并建立应急响应流程。整体属于防御策略与产品能力介绍的行业内容，而非针对具体攻击活动的通报。

本文是一篇系统化知识综述（SoK），聚焦于素数域上多项式哈希函数的高效设计与实现，并以广泛部署的 Poly1305 为主要参照对象。Poly1305 的设计理念由 Bernstein 在 2005 年前的一系列论文中奠定，但随着计算机体系结构的发展，部分原始设计特征已不再适用，而实现者逐步发现了利用这些特征提升性能的新途径。作者提出的核心问题是：如果基于当代计算机架构和应用需求重新设计多项式哈希，是否还会收敛到与 Poly1305 相同的方案？为回答该问题，作者系统收集并整理了散落在研究论文、密码学库和开发者博客中的关于多项式哈希设计与实现的知识，并开发了一个自动化框架，用于对收集到的各种设计思想进行验证和基准测试。基于这一框架，作者提出了五个新的多项式哈希函数候选设计，并为每个候选生成和评估了不同的实现与优化策略。实验结果表明，与 Poly1305 相比，这些新设计在安全性和性能两个方面均取得了实质性改进。本文不仅阐述了新设计背后的设计原理，还作为一份高效实现多项式哈希函数（包括 Poly1305 本身）的实用参考，涵盖了从算法选择、参数优化到现代 CPU 指令集利用等关键技术细节。适合密码学研究者、哈希函数实现者以及需要高性能认证加密方案的安全工程师阅读。

Citrix NetScaler 内存泄漏(CVE-2025-5777)

CrowdStrike 与 Zscaler 于 2026 年 8 月 28 日联合宣布了一项合作，旨在将持续身份验证能力与零信任访问架构相结合。该合作的核心是整合 CrowdStrike 的端点检测与响应（EDR）平台及其身份保护模块，与 Zscaler 的零信任云安全平台，实现对用户身份和终端设备的持续风险评估。传统零信任模型通常仅在登录时进行身份验证，而这两家公司的解决方案强调在访问过程中持续监测用户行为、设备状态和威胁情报，并根据风险变化动态调整访问权限。该集成能够实时检测潜在的身份滥用、端点异常或凭据窃取行为，在会话进行中触发条件访问策略，从而显著降低身份相关攻击面。对于蓝队而言，这一合作意味着可以更快速发现失陷凭据的异常使用，并在事件扩大前自动切断访问。文章并未提供具体的技术实现细节、CVE 或攻击活动案例，但预示了未来零信任安全产品的发展方向。结合输入数据中提到的 Conti 恶意软件家族，虽然原文本未涉及，但可能暗指该合作有助于防御此类勒索软件利用身份展开的攻击。整体上，这是一次安全厂商生态整合，而非针对具体威胁事件的通报。

CrowdStrike Announces Continuous Identity for AI Agents

该论文聚焦于大语言模型（LLM）生成寄存器传输级（RTL）代码时的安全问题。与软件代码不同，RTL 一旦流片为芯片，安全缺陷将无法通过补丁修复，因此其安全性至关重要。现有研究主要关注 LLM 生成软件代码的安全漏洞，对硬件描述语言（HDL）的安全研究相对匮乏。论文构建了 SECRTL-GEN 基准，这是一个基于真实 SoC IP 的多语言资源访问安全基准，包含 392 个任务，覆盖五个 CWE 家族和四种 HDL（Verilog、SystemVerilog、VHDL 和 Python），每个任务都配有黑盒功能测试和安全测试平台。基准的功能规格说明有意省略安全义务，以模拟实际工程中安全要求常常不写入功能文档的情况。作者对五个前沿 LLM 进行了实证研究，发现存在显著差距：在普通提示下，模型通过功能测试的比例约为 73-79%，但通过安全测试的比例仅为 14-35%，且功能正确性更强的模型并不更安全。添加 CWE 知识能提升安全通过率，而无辅助的自我思考帮助较小，且两类面向安全的提示都会降低功能通过率，表明瓶颈在于规格说明中缺乏弱点意识，而非模型缺乏编写防御性 RTL 的能力。为此，论文提出 RTL-Obliger，一个神经符号框架，用于推断这些隐性安全义务。该框架由 LLM 从规格说明中提取功能语义图，符号引擎将图与 CWE 模式本体匹配，以发现缓解证据缺口和信号级义务，最后 LLM 在这些义务的约束下进行两阶段生成，保持功能不变。在五个模型和四种语言上，RTL-Obliger 将平均全通过率从 49.6-51.4%（基线 SecV/RESCUE）提升至 61.6%，且安全通过率和功能通过率均高于这些安全生成基线。

openssl_encrypt versions before 1.4.9 fail to properly validate key derivation function costs in crafted files, allowing attackers to trigger unbounded memory and CPU exhaustion during pre-authentication processing. Attackers can supply malicious files with excessive KDF parameters to exhaust system resources and crash or wedge the process before password verification occurs.

The mcp-router CLI served its MCP aggregator on every interface and enforced authentication only when the operator asked for it. The serve command in apps/cli/src/commands/serve.ts defaulted its host to the all-interfaces address on a fixed port, and required a token only when the corresponding flag was supplied, so a default invocation exposed the aggregator, and every MCP server it fronted, to a

本文针对区块链生态中普遍存在的代码分叉现象，提出了一种名为 BlockScope 的自动化工具，用于检测和调查分叉区块链项目中从经典链（如比特币和以太坊）传播而来的漏洞。由于区块链项目的开源特性，许多新链（如 Dogecoin、Litecoin、BSC、Polygon）都不同程度地复用了比特币或以太坊的代码，这些分叉链在分叉时或后续拉取提交（commit fetching）的过程中，可能继承已知漏洞，导致严重的安全风险。现有研究大多针对单一项目或特定漏洞类型，缺乏对跨项目漏洞传播的系统性检测。BlockScope 以已有的比特币/以太坊安全补丁作为输入，采用基于相似度的代码匹配技术，设计了一种新的代码相似度计算方法，能够覆盖语法层面的所有克隆变体（Type-1、Type-2、Type-3），包括完全相同的代码、重命名/修改标识符的代码以及结构略作调整的代码。此外，BlockScope 会自动提取并利用补丁代码的上下文信息，缩小搜索范围，仅定位可能相关的代码进行比较，从而提升检测效率和准确率。实验结果表明，BlockScope 能够有效且高效地检测多种类型的克隆漏洞，为分叉区块链项目的安全审计提供了有力支撑。本文的主要贡献包括：首次系统性地研究分叉区块链中的漏洞传播问题，提出一种实用的检测工具，并在真实项目中验证了其有效性。适合区块链安全研究者、项目维护者以及安全审计人员阅读。

In the Linux kernel, the following vulnerability has been resolved: hwmon: (occ) unregister sysfs devices outside occ lock occ_active(false) and occ_shutdown() unregister sysfs-backed devices while occ->lock is held. hwmon_device_unregister() and sysfs_remove_group() can wait for active sysfs callbacks to drain, and those callbacks can enter the OCC update path and try to take occ->lock again.

Wazuh is an open-source security platform providing unified XDR and SIEM protection for endpoints and cloud workloads. In versions 4.14.0 through 4.14.6, a low-privilege API user can read the cleartext cluster key from a configuration endpoint that fails to redact it. The REST API provides a masking control, mask_sensitive_config, that redacts sensitive fields such as authd.pass and cluster.key fr

Wazuh is an open-source security platform providing unified XDR and SIEM protection for endpoints and cloud workloads. In versions 4.4.0 through 4.14.6, a party holding the cluster key can write, overwrite, or delete arbitrary files under /var/ossec on worker nodes, leading to remote code execution as root. During cluster file synchronization, the non-merged branch of update_master_files_in_worker

Wazuh is an open-source security platform providing unified XDR and SIEM protection for endpoints and cloud workloads. In versions 4.14.0 through 4.14.6, an authenticated low-privilege user can read the cluster secret from the manager configuration because the logic that masks sensitive values is disabled by any update-config RBAC rule, including an explicit deny. The mask_sensitive_config() decor

Wazuh is an open-source security platform providing unified XDR and SIEM protection for endpoints and cloud workloads. In versions 4.0.0 through 4.14.6, a malicious or man-in-the-middle enrollment manager can crash a Wazuh agent during enrollment by returning a malformed key response with fewer than four fields, causing a NULL pointer dereference. The  w_enrollment_process_agent_key()  routine spl

CakePHP Queue is a queue-interop compatible queueing library. From 0.1.11 until 2.3.1, QueueManager::getUniqueId() generates identifiers for jobs with shouldBeUnique enabled from the job class, method, and parameters, but sorting parameter values drops associative-array keys. An unauthenticated attacker who can influence job parameters can submit semantically different data that produces the same

openssl_encrypt before 1.4.9 fails to validate the memory_cost parameter from identity file protection blocks, allowing attackers to trigger out-of-memory conditions during key derivation. Attackers with write access to local identity stores can craft malicious identity files with excessive memory_cost values that cause the host to crash when unlocking identities before authentication.

openssl_encrypt before 1.4.9 fails to prevent namespace collisions between own identities and contacts in IdentityStore, allowing attackers to create shadowed contact entries invisible until the corresponding own identity is deleted. When the own identity is deleted, the shadowed contact becomes visible and resolves to the attacker's keys, enabling silent key substitution for encrypted files.

openssl_encrypt before 1.4.9 fails to re-derive and validate fingerprints when loading identities from identity.json, allowing attackers to substitute public keys in identity stores. Attackers can replace legitimate public keys with their own while maintaining the claimed fingerprint, enabling silent key substitution where encryption uses attacker keys and signature verification appears valid.

AVideo before 24.0 contains a server-side request forgery vulnerability in the isSSRFSafeURL function that fails to extract embedded IPv4 addresses from NAT64, 6to4, and Teredo IPv6 transition address formats. Unauthenticated attackers can bypass SSRF protections via the LiveLinks proxy endpoint to reach internal services and cloud metadata endpoints by encoding private IPv4 targets in transition

Baserow dispatches an Application Builder data source without acting on the result of its permission check. The dispatch and record-name views in backend/src/baserow/contrib/builder/api/data_sources/views.py are declared with a permission class that admits any caller, so a request carrying no credential reaches the handler. DataSourceService.dispatch_data_sources in backend/src/baserow/contrib/bui

pg-aiguide started its MCP HTTP transport without enabling the host allow-list the underlying SDK provides. src/httpServer.ts called the shared httpServerFactory helper and never set the DNS-rebinding-protection option, so the transport accepted a request whatever host it named. A page in a browser could therefore point a name it controlled at the address the server was bound to and drive the loca

The get-html-skeleton tool fetched a URL the caller supplied after checking only its syntax. The handler in src/tools/common/get_html_skeleton.ts validated the url argument with isValidHttpUrl from src/utils/generic.ts, which confirmed the string began with an http or https scheme and parsed as a URL and inspected neither the host name nor the address it resolves to. Loopback, link-local and priva

mcp-go accepted requests on its HTTP transports without checking the Host header. StreamableHTTPServer.ServeHTTP in server/streamable_http.go and SSEServer.ServeHTTP in server/sse.go served any request arriving over a loopback connection regardless of the host it named, and the SSE transport's cross-origin default allowed any origin. A page in a browser could therefore point a name it controlled a

The updateWorkspace handler in mods/identity/src/workspaces/createUpdateWorkspace.ts in Fonoster through 0.22.7 invokes the gRPC callback with PERMISSION_DENIED when createIsWorkspaceMember reports that the caller is not a member of the target workspace, but it does not return. Execution continues into prisma.workspace.update, which is scoped by the workspace reference alone, so the rename commits

PLANET VDR-300NU ADSL Router - 未授权修改DNS

Acknowledgements

多款Huawei路由器信息泄露漏洞

An improper protection of authentication tokens vulnerability exists in certain Ebyte gateway products. Authentication tokens used by the web management interface are insufficiently protected during client-side session handling, which may allow an attacker with access to exposed session information to obtain and reuse a valid token. Successful exploitation could allow an attacker to impersona

openssl_encrypt before 1.4.9 fails to sanitize the email field of imported identity documents, allowing attackers to inject ANSI escape sequences that forge the fingerprint verification line displayed to users. Attackers can deliver a crafted identity bundle through normal contact-exchange flows or keyserver responses to manipulate terminal output and display a fraudulent fingerprint, bypassing th

The mcp-router CLI served its MCP aggregator on every interface and enforced authentication only when the operator asked for it. The serve command in apps/cli/src/commands/serve.ts defaulted its host to the all-interfaces address on a fixed port, and required a token only when the corresponding flag was supplied, so a default invocation exposed the aggregator, and every MCP server it fronted, to a

本论文聚焦于学术预印本平台中的信息安全问题，特别是通过LaTeX源文件无意泄露敏感信息的风险。预印本作者通常需要上传LaTeX源文件以供排版和编译，但这些源文件中可能残留大量元数据、个人信息、修改痕迹或无效的匿名化内容，例如注释中的姓名/机构、文件属性中的作者信息、历史审阅记录等。这类隐性泄露不仅可能破坏双盲评审的公平性，还会导致研究未发表即暴露隐私，甚至被恶意利用。论文提出了一种基于大型语言模型（LLM）的大规模系统性分析方法，对预印本档案（如arXiv）中的LaTeX源码进行自动扫描与语义理解，以检测传统静态规则难以发现的复杂泄露模式。研究核心可能包括：设计面向LaTeX源文件的LLM提示工程与上下文学习策略，从非结构化文本中识别敏感实体；构建自动化流水线，对海量预印本进行高效筛查；并通过统计量化揭示各类泄露的普遍性和严重程度。该工作的主要贡献在于将LLM应用于预印本安全审计这一全新场景，提供了可复现的方法论和实证数据，为学术出版安全、匿名评审机制以及研究者隐私保护提供了重要参考。由于当前仅提供标题信息，本摘要依据标题及领域常识进行概括，具体技术细节需查阅原文。

In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: use proper context for logging The same as the rest of the code, get_ss_info_from_atombios() uses calc_pll_cs->ctx->logger for logging. But calc_pll_cs->ctx is initialized only later in calc_pll_max_vco_construct(). Therefore, any output using DC_LOG_SYNC() leads to a NULL pointer deference in get_ss_info_from_a

In the Linux kernel, the following vulnerability has been resolved: sctp: validate Adaptation Indication parameter length The Adaptation Layer Indication parameter contains a fixed 32-bit Adaptation Code Point after its parameter header. However, sctp_verify_param() accepts a header-only parameter because the generic parameter walker only requires the header to be present. sctp_process_param()

In the Linux kernel, the following vulnerability has been resolved: iomap: add a separate bio_set for iomap_split_ioend iomap_split_ioend can split bios that already come from iomap_ioend_bioset and thus deadlock when the bioset is exhausted. Add a separate bio_set to avoid this deadlock. Christian Brauner says: Mark iomap_ioend_split_bioset static as it is only used in ioend.c, fixing the sp

In the Linux kernel, the following vulnerability has been resolved: mm: mglru: fix stale batch updates after memcg reparenting The mglru page table walker batches per-generation size deltas in walk->nr_pages while walking page tables without holding the lruvec lock. The reset_batch_size() later folds those deltas into walk->lruvec under the lruvec lock. The page table walker can run concurrent

In the Linux kernel, the following vulnerability has been resolved: erofs: ensure valid f_path for page cache sharing Previously, backing files for page cache sharing were set up with f_path left as NULL (only f_inode was valid). It worked, but a recent mincore fix relies on f_path.mnt and crashes (found by "erofs/028" on 7.2-rc4): BUG: kernel NULL pointer dereference, address: 00000000000000

In the Linux kernel, the following vulnerability has been resolved: mm/util: don't read __page_2 for order-1 folios in snapshot_page() snapshot_page() currently reads __page_2 after checking nr_pages > 1, but it should only do so when nr_pages > 2. If an order-1 folio is allocated at the end of a vmemmap section, __page_2 will not exist and reading it will cause a fault. During DLPAR memory re

In the Linux kernel, the following vulnerability has been resolved: perf tools: Use perf_env__get_cpu_topology() in machine__resolve() machine__resolve() accesses env->cpu[al->cpu].socket_id after checking al->cpu >= 0 and env->cpu != NULL, but without validating al->cpu against env->nr_cpus_avail. Since al->cpu comes from the untrusted perf.data sample, a crafted file with a large CPU index ca

In the Linux kernel, the following vulnerability has been resolved: crypto: ccp - Treat zero-length cert chain as query for blob lengths When handling a PDH export, treat a zero-length userspace cert chain buffer as a request to query the length of the relevant blobs. Failure to account for the zero-length buffer trips a BUG_ON() when running with CONFIG_DEBUG_VIRTUAL=y due to trying to get the

In the Linux kernel, the following vulnerability has been resolved: net/sched: sch_fq_codel: Do not call qdisc_tree_reduce_backlog during peek before restoring qlen Whenever fq_codel drops packets during peek, it calls qdisc_tree_reduce_backlog. An issue arises because it calls qdisc_tree_reduce_backlog before it reincrements the qlen. If qlen drops to zero, but peek returns an skb, the parent's

In the Linux kernel, the following vulnerability has been resolved: wifi: wlcore: enable the right set of ciphers The firmware version number check for IGTK introduced in commit c34dbc5900b0 ("wifi: wlcore: Add support for IGTK key") lets the amount of ciphers decrease on every boot of a too old firmware and that is practically happening. It also does not take into account other chips than the

## Summary The Kargo UI reads a `redirectTo` query parameter on the `/login` and `/token-renew` routes and, following a successful OIDC authentication, uses its value as the destination for client-side navigation. The parameter is treated as a path string but is not constrained to targets within the UI's own origin. Protocol-relative values (e.g. `//attacker.example.com`) and values using a backs

Firefox browsers

Sign in to Cloud

Sign Up for Free Cloud Tier

iOS 26.4.2 and iPadOS 26.4.2

iOS 18.7.8 and iPadOS 18.7.8

iOS 18.7.7 and iPadOS 18.7.7

iOS 26.4 and iPadOS 26.4

Background Security Improvements for iOS, iPadOS, and macOS

iOS 16.7.15 and iPadOS 16.7.15

iOS 15.8.7 and iPadOS 15.8.7

iOS 26.3 and iPadOS 26.3

iOS 18.7.5 and iPadOS 18.7.5

iOS 26.2 and iPadOS 26.2

iOS 18.7.3 and iPadOS 18.7.3

Compressor 4.11.1

Android Code Search

Android Devices

Secure an Android device

Android 16 QPR2

Mobile network security

iOS 26.5 and iPadOS 26.5

iOS 18.7.9 and iPadOS 18.7.9

iOS 16.7.16 and iPadOS 16.7.16

iOS 15.8.8 and iPadOS 15.8.8

MFSA 2026-49Security Vulnerabilities fixed in Firefox for iOS 151.0

MFSA 2026-52Security Vulnerabilities fixed in Firefox for iOS 151.1

MFSA 2026-53Security Vulnerabilities fixed in Firefox for iOS 151.2

MFSA 2026-55Security Vulnerabilities fixed in Focus for iOS / Klar 151.3.1

MFSA 2026-56Security Vulnerabilities fixed in Firefox for iOS 152.0

iOS 26.5.2 and iPadOS 26.5.2

MFSA 2026-65Security Vulnerabilities fixed in Firefox for iOS 152.3

MFSA 2026-66Security Vulnerabilities fixed in Firefox for iOS 152.4

iOS 26.6 and iPadOS 26.6

MFSA 2026-73Security Vulnerabilities fixed in Firefox for Android 153.0.3

iOS 26.6.1 and iPadOS 26.6.1

iOS 18.7.10 and iPadOS 18.7.10

【大模型服务平台 TokenHub】&【智能体开发平台 ADP】& 【云开发 CloudBase】 关于腾讯云 DeepSeek-V4-Flash (Model ID：deepseek-v4-flash) 模型下线及切换升级的通知

  Hello Everyone! We've just released Chrome 153 (153.0.8010.18) for Android to a small percentage of users. It'll become available on Google Play over the next few days. You can find more details about early Stable releases here.This release includes stability and performance improvements. You can see a full list of the changes in the Git log. If you find a new issue, please let us know by filing

Hi everyone! We've just released Chrome Beta 153 (153.0.8010.18) for Android. It's now available on Google Play.You can see a partial list of the changes in the Git log. For details on new features, check out the Chromium blog, and for details on web platform updates, check here.If you find a new issue, please let us know by filing a bug.Chrome Release TeamGoogle Chrome

Hi everyone! We've just released Chrome Dev 154 (154.0.8025.0) for Android. It's now available on Google Play.You can see a partial list of the changes in the Git log. For details on new features, check out the Chromium blog, and for details on web platform updates, check here.If you find a new issue, please let us know by filing a bug.Chrome Release TeamGoogle Chrome

Firewall for AI

CISA has ordered U.S. government agencies to patch their Citrix NetScaler appliances against an actively exploited remote code execution vulnerability by Saturday. [...]

The Australian Federal Police (AFP) has charged two Western Australian men with a combined total of 14 offences over their alleged role in TeamPCP, the cybercrime group behind the March 2026 compromise of the open-source security scanners Trivy and Checkmarx KICS and the AI gateway LiteLLM. Louis Michael Gaebler, 23, and Ruben Ian Thomson, 21, appeared in Perth Magistrates Court on August 27,

Nearly 130 tech and cybersecurity companies back a collective call to boost cyber defenses as AI-enabled attacks grow more sophisticated.  The post Tech, Cybersecurity Giants Unite Behind OpenAI-Led Cyber Defense Pledge appeared first on SecurityWeek.

随着大语言模型（LLM）在硬件设计领域的应用，自动化寄存器传输级（RTL）代码生成正成为趋势，设计者可将高层规范转换为可综合硬件。然而，依赖第三方预训练并微调的模型存在严重信任问题：训练数据和微调过程不透明，攻击者（甚至模型提供商）可能在微调阶段植入隐藏后门，使得用户在推理时输入看似正常的提示词即可触发恶意行为（如硬件木马）。针对AI辅助IC供应链中的这一信任风险，本文提出RTLGuard——一种轻量级防御框架。RTLGuard采用教师-学生（teacher-student）架构，避免全参数重训练带来的高昂计算成本。其核心步骤包括：（1）在有限的受信任RTL数据上微调一个小规模“干净”教师模型；（2）通过复合教师-学生目标函数引导被污染的目标模型；（3）结合特征对齐与知识蒸馏来抑制恶意行为。实验覆盖多种LLM架构，结果表明RTLGuard在显著降低攻击成功率（ASR）的同时，保持了生成RTL代码的功能正确性和可综合性。该研究为硬件设计流程中的LLM后门防御提供了可行方案，特别适用于对第三方模型可信度存疑的IC供应链场景。

本文针对当前自主智能体（Agent）技能（Skill）体系中的一个关键安全缺口展开研究。现有自进化技能库（如AutoSkills、Hermes Agent）虽然能自动生成更多编排建议，但其优化目标集中在效率而非安全性。作者指出，技能（Skill）描述的是智能体应如何行动，而策略（Policy）决定何种行为被允许转化为实际动作；当前格式（Markdown+脚本）仅覆盖前者，后者仍完全依赖模型自由判断。因此，持续生成更多技能只会扩大这一认知与实践之间的鸿沟，尤其在错误调用技能可能导致开门或转账等物理/现实后果的场景下，安全风险急剧上升。论文援引两类已见诸报道的攻击：恶意技能危害云软件，以及被越狱的LLM控制机器人造成物理伤害；二者的交集——恶意技能造成物理伤害——虽顺理成章但尚无公开报告。作者将此类威胁命名为“借用权威”（Borrowed Authority）：技能格式未赋予接收智能体类型化的方式来拒绝跨智能体的权限声明，恶意或被滥用的技能可通过附加权限声明驱动物理执行机构。为此，论文提出Edge Skillguard——一种内嵌于技能工件中的类型化权威层（而非像工作流引擎那样置于工具之间），对世界状态和传感器证据实施守卫。在实时边缘控制面测试台上，守卫能在五种攻击变体的60/60次借用权威请求中全部拒绝且不阻塞良性请求，并在5倍规模及Tailscale网格跨主机场景下保持有效。结果表明，高风险技能应将类型化调用策略与程序性知识共同封装，使物理动作依赖机器可验证的证据而非对等智能体的声明。

本文提出了一种名为 SPA（Securing Persistent LLM Agents）的架构，旨在解决大型语言模型（LLM）智能体在持久化多轮交互中的安全挑战。随着 LLM 智能体越来越多地操作不可信的网页、文档、工具和持久化状态，攻击者可能通过注入恶意数据来影响智能体的控制流、篡改安全敏感的工具参数，甚至危害后续查询。现有防御通常只保护规划阶段或单个工具交互，无法应对跨查询的持久化威胁。SPA 采用“规划优先”（plan-first）架构，每个查询仅调用一次规划器，生成一个用声明式领域特定语言表达的完整可执行计划，并在执行阶段应用双格信息流控制（dual-lattice information-flow control），同时追踪保密性和完整性的显式数据流与控制依赖。为支持持久化且不将不可信载荷重新暴露给规划器，SPA 将执行结果存储为带标签的工件（labeled artifacts），在后续规划中仅暴露语义元数据。作者在 AgentDojo 及扩展的多查询基准 AgentDojo-MQ 上进行了评估，后者用于衡量安全状态复用和延迟攻击。在“工具知识”（tool_knowledge）攻击场景下，SPA 结合信息流控制可将 AgentDojo 上的攻击成功率降至 0%，在 AgentDojo-MQ 上降至 0.2%。实验表明，规划优先执行与标签保持的持久化机制能够显著增强持久化 LLM 智能体的安全性，同时也揭示了严格完整性执行带来的安全-效用权衡。该研究适合关注 LLM 智能体安全、数据流控制、持久化状态防护的研究人员和工程师阅读。

该论文提出 PLCBench，一个面向真实 PLC 的硬件在环（HIL）评估框架，用于系统性地衡量自主 LLM 代理能否将网络可达的 PLC 访问转化为持续的物理影响。研究背景是：工业控制系统依赖 PLC 连接网络计算与物理控制，而具备工具调用能力的 LLM 代理正成为一种新兴攻击威胁。现有评估大多集中在数字任务或 PLC 测试的单一阶段（如软件利用、一次写入或工具访问），无法准确刻画物理风险。PLCBench 结合了厂商原生交互、商业 PLC 执行、闭环降阶过程仿真以及独立结果验证，通过确定性评估器对运行记录、通信记录、PLC 对象和过程记录应用固定规则，分配六种隐藏诊断标志，区分可用的 PLC 交互、过程关联的操作以及持续的物理影响。作者在四款商业 PLC 与四个闭环工作负载的组合上实例化该框架，跨越五个 LLM 家族进行了 240 次真实 PLC 实验。结果显示，75 个实验（31.3%）能够持续实现其物理目标。分阶段结果表明，98 个实验在有效的原生读取之前停止，而 62 个实验达到过程关联写入但未能持续最终目标。值得注意的是，更丰富的过程观察与过程关联写入后条件目标达成率从 44.2% 提升到 64.0% 相关。这些测量定位了配置型 PLC 过程部署中的失败点，并为未来防御评估确定了干预点。为支持可复现性，作者通过随附工件发布了可安全披露的 PLCBench 代码和纯软件复现流水线。该研究首次从真实硬件闭环角度刻画了 LLM 代理的跨域攻击能力边界，对 ICS 安全评估具有重要参考价值。

本文针对企业环境中自主AI代理（autonomous AI agents）的治理问题展开研究。作者指出，当前部署方式继承了为人类用户和长期服务设计的控制模型，但在代理场景下存在三个关键不匹配：一是代理主体具有瞬时性，其创建和销毁速度远超传统资源供给流程；二是代理的行为由模型而非程序直接决定，因此不可预知的行为集合无法提前枚举；三是代理的种群是通过接口调用动态发现的，而不是预先配置的，任何能调用API的人都能创建代理。基于这些观察，作者主张治理自主代理本质上是一个运行时问题，既不是模型对齐问题，也不是构建期问题。他们从代理动作生效前和生效后必须回答的问题中推导出五个治理原语：发现（discovery）、身份（identity）、治理（governance）、证明（attestation）和供应链（supply chain）。论文对每个原语都阐述了缺失时的后果，以及为什么其他原语无法从结构上替代其功能。作者描述了一个具体实现：代理的动作在执行前会依据策略进行中介检查，使用租户级动作词汇表进行授权，并记录在由哈希链连接的签名账本中，第三方可在不依赖供应商的情况下验证。文中还报告了该架构的代价：强制点位于请求关键路径上，身份验证需要每个工作负载的边车（sidecar），并且故障关闭（fail-closed）的中介机制会将可用性事件转化为拒绝服务。作者明确指出实现状态：四个原语已在私有试点中构建并运行，第五个原语作为独立工具已构建，但尚未集成到请求路径中。作者特意将其保留在集合中，以强调五部分分解若恰巧等于作者所构建的代码库，那只是对代码库的描述而非分类法。适合关注AI代理安全治理、零信任架构和运行时策略执行的研究人员与安全工程师阅读。

本文提出 MACGen，一个基于多智能体协作的代码生成框架，旨在同时优化功能正确性和安全性。大语言模型生成的代码常包含安全漏洞，因为安全代码生成本质上是一个多目标优化问题。现有方法要么注入外部安全知识，要么使用智能体反馈和迭代细化，但知识检索往往让生成器自行将通用建议转化为任务特定的安全实现，而共享对话的多智能体反馈可能模糊角色边界并导致上下文膨胀。MACGen 集成了规划、安全分析、代码合成和细化四个阶段：规划器构建满足功能需求的逐步计划；安全顾问识别可能的 CWE 并合成任务特定的安全指南；编码器基于这些工件生成代码；审查者发出基于视角分离的反馈。各智能体只接收上游阶段的结构化工件，而非共享完整对话历史，从而强制角色专业化并减少不受控制的上下文增长。在 CWEval 和 BaxBench 基准上，MACGen 相比直接提示在功能正确性和安全性（F&S@1）上平均分别提升了 19.61 和 10.57 个百分点。该研究适合对 AI 安全、代码生成、多智能体系统感兴趣的学者和工程实践者。

该论文是一篇关于检索增强生成（Retrieval-Augmented Generation, RAG）安全性与鲁棒性的综合性综述。RAG 通过引入外部知识库来增强大语言模型，能够提升事实性并减少幻觉，但同时也引入了新的鲁棒性与安全风险，例如语料库投毒、后门攻击、隐私泄露和公平性违背。现有综述在攻击者目标、威胁模型以及覆盖整个 RAG 流水线的分阶段防御方面覆盖有限。本综述提出一个统一的、流水线感知的 RAG 鲁棒性框架：首先形式化定义语料库、检索器和生成器上的威胁模型；然后根据攻击目标将攻击分为三类：准确性攻击、隐私攻击和公平性攻击。在防御方面，论文从流水线感知的角度进行梳理，涵盖检索阶段、重排序阶段、生成阶段和溯源（traceback）阶段的防御措施。此外，论文还总结了用于评估和解释 RAG 鲁棒性的基准数据集与可解释性方法。该工作为 RAG 安全研究提供了系统性的分类和未来研究方向，适合从事大模型安全、可信 AI 以及 RAG 系统开发的学者与工程师阅读。

多模态大语言模型（MLLMs）正越来越多地部署在面向用户的应用中，但其构建流程可能引入后门风险，触发器可存在于图像、文本或两者兼有。现有的模型级后门移除方法大多针对传统分类器，在MLLM上效果有限；而专门的MLLM防御多在推理阶段进行，通过过滤可疑输入，无法真正消除嵌入模型的后门。本文提出RACER（区域感知一致性修复框架），从源头消除MLLM中的潜在后门。关键发现是：后门会导致内部表示在逐层传播过程中出现异常演化，作者称之为“逐层不一致性异常”，且该异常具有模态依赖性，主要集中在编码实际依赖的触发特征的token区域。RACER将融合表示分解为视觉和文本token区域，分别对各区域的逐层不一致性进行归一化，然后利用模态感知权重在深层窗口上重新组合，形成区域感知的不一致性目标。通过极小极大优化，该目标驱动最坏情况扰动合成，并针对该扰动进行对抗性微调以修复模型，抑制后门行为所依赖的深层表示方向性偏移。RACER仅需100个干净样本，无需知道触发器、攻击目标，甚至无需知道模型是否包含后门。在3个开源MLLM、36个涵盖图像、文本和多模态触发器的后门设置上的评估表明，RACER将平均攻击成功率（ASR）降至1.1%，其中32个设置达到0%，同时保持了干净任务效用（在带后门和干净模型上）。

该论文来自 arXiv（cs.AI 分类），研究将大语言模型（LLM）推理迁移到边缘 AI 加速器后引入的全新物理安全风险。在推理过程中，模型参数和中间推理状态会被反复加载到芯片上的局部存储器和计算子电路中，这使得它们容易受到物理侧信道攻击。作者提出并验证了一种基于激光电压成像（Laser Voltage Imaging）的攻击方法，能够从基于 FPGA 的 LLM 加速器中提取关键的 LLM 资产，包括嵌入向量、注意力权重、量化后的 MLP 权重、激活值以及其他推理状态。由于这类加速器在地址、tile、模块和层之间复用相同的缓冲区和计算子电路，读取资产值简化为在推理期间探测不同的存储器区域。实验证明，该方法能够完整恢复目标数值；同时，即使部分权重或比特位未被读取，作者也建立了相应的恢复方法论。此外，论文推导了成像工作量与资产维度之间的下界关系，表明直接恢复的复杂度与目标资产规模呈线性增长。该研究揭示了边缘 AI 芯片在物理层面存在的机密性威胁，为硬件安全社区提供了新的研究方向，也提醒安全从业者关注 LLM 推理部署在物理可接触环境中的风险。

Cloud & Application Security

From Scanner to Stealer: Inside the trivy-action Supply Chain Compromise

Next-Gen Identity Security

CrowdStrike Expands Identity Leadership with OpenID and IDPro

cloud architecture assessment

ransomware and multifaceted extortion defense

Google Cloud Next 2026Catch-up sessions on the keynotes and select sessions are now available on demand.Explore content on-demand

The Identity Problem Hiding in AI Agent Deployments

94% of Organizations Report Cloud Breaches: CrowdStrike State of CDR Survey

Falcon Cloud Security June 2026 Release: Updates for Azure and Google Cloud

Falcon Cloud Security July 2026 Release: Helping Security Teams Move Faster in the Cloud

CrowdStrike Named Strongest Overall Leader in 2026 Frost Radar™: Cloud Workload Protection Platforms

Australian authorities have arrested and charged two young men accused of being part of the TeamPCP hacking group linked to a string of far-reaching developer supply chain attacks. [...]

该论文针对小程序（Mini-Programs）中 AppSecret 密钥泄露问题进行了系统性的研究。AppSecret 是小程序调用服务端 API 时用于签名和身份认证的关键凭证，一旦泄露，攻击者可伪造请求、窃取数据或实施未授权操作。作者首先通过大规模测量方法分析了当前小程序生态中 AppSecret 的暴露情况，包括静态代码分析、网络流量监测等方式，揭示了大量小程序存在硬编码密钥、配置不当等安全隐患。随后，论文深入研究了这些泄露密钥的实际可利用性，展示了攻击者如何利用泄露的 AppSecret 绕过服务端校验、调用敏感接口或提升权限。基于测量与利用分析，作者提出了若干缓解措施，包括密钥管理最佳实践、运行时检测机制以及开发者教育建议。该研究为移动应用安全、云端凭据泄露防护以及供应链安全提供了实证支撑，适合移动安全研究员、小程序平台运营方及后端开发人员阅读。

本文提出了 ARMOR，这是首个针对 X.509 证书链验证逻辑（CCVL）的大规模形式化验证实现，旨在为 RFC 5280 的大部分内容提供机器可检查的正确性保证。ARMOR 的设计目标有两个：一是作为 RFC 规范的形式化、机器可检查的替代品，二是作为参考实现和测试预言机。其架构采用模块化设计，将 X.509 CCVL 分解为多个模块，每个模块独立地进行规格说明、实现和验证。目前，ARMOR 已正式验证的模块包括 PEM 和 ASN.1 X.690 DER 语言（子集）的规格说明与解析、证书链构建，以及单个证书内和证书链中证书字段所需属性的多种语义性质。为了实证评估这些目标的达成情况，作者将 ARMOR 与 11 个开源 X.509 实现及一个开源证书检查工具进行了比较，评估其规格准确性和运行时开销。实验结果显示，尽管 ARMOR 引入了较高的运行时开销，但通过使用它，能够检测出若干不符合规范的情况。最后，作者展示了 ARMOR 的端到端应用：将其集成到 BoringSSL 的 TLS 1.3 实现中，并使用 Curl 进行测试。这项工作为证书链验证的正确性提供了可验证的基准，有助于发现现有实现中的合规性问题。

该研究针对NVIDIA多实例GPU（MIG）技术，旨在考察其隔离保证是否真正安全。NVIDIA MIG允许在一张物理GPU上划分出多个相互隔离的实例，每个实例拥有独立的内存和计算资源，广泛应用于云服务商提供多租户GPU算力。然而，作者通过完全逆向工程GPU中的TLB（翻译后备缓冲器），发现了可被利用的硬件隧道，从而能够破坏MIG的隔离边界。具体而言，作者深入分析了GPU TLB的索引、标签和填充/逐出行为，识别出可以触发跨实例访问的微架构缺陷。利用该缺陷，攻击者可以从一个MIG实例中发起特殊构造的内存访问序列，实现数据泄露或干扰其他实例的正常计算。实验在真实NVIDIA GPU上演示了该攻击的有效性，证明当前MIG的隔离承诺并不完备。论文还讨论了可能的缓解方向，例如加强TLB的隔离设计或增加安全性检查。此外，作者强调了这类硬件级逆向工程的重要性，因为它揭示了厂商可能未能预见的攻击面。这项研究凸显了硬件级隔离机制在面对针对性逆向工程时的脆弱性，对于依赖MIG进行安全多租户部署的使用者有重要警示意义。

本文提出了一种名为 RetSpill 的内核利用技术，旨在简化在控制流劫持原语（CFHP）基础上进行 Linux 内核权限提升的过程。现代内核安全缓解措施（如 SMAP、SMEP、KASLR、stack canary 等）使得传统的 ret2usr、ROP 等利用手段变得困难，攻击者不得不开发复杂且脆弱的攻击链。RetSpill 的核心洞察是：内核栈上已经残留了大量用户空间可控的数据（例如系统调用参数、指针、数据块等），攻击者可以巧妙地利用这些现有数据来构造恶意代码指针或数据，从而绕过内核栈不可执行等保护，实现权限提升。该方法不需要引入额外的 gadget 或复杂的内存布局操纵，而是通过精确控制栈上用户数据的位置和内容，在控制流劫持发生时直接重用这些数据作为攻击载荷。论文详细分析了内核栈上用户数据的来源、生命周期和可控性，并实现了针对多个 Linux 内核版本和不同配置的利用原型。实验表明，RetSpill 能够稳定地绕过现有的内核保护机制，显著降低利用难度，并提高了利用的可靠性。该工作对内核防御者具有重要警示意义：仅依赖硬件辅助保护（如 SMAP/SMEP）是不够的，需要重新审视内核栈上数据残留的风险，并考虑在编译时或运行时对栈数据进行清理或隔离。适合内核安全研究者、漏洞利用防御工程师以及操作系统安全领域的学生阅读。

本文提出了一种名为 Narcissus 的实用后门攻击方法，属于干净标签（clean-label）后门攻击的新变体。传统后门攻击通过在训练集中注入带有触发器且标签被篡改的数据，使模型在推理阶段将含触发器输入误分类为攻击者指定类别。干净标签攻击则要求注入数据本身标签正确，以绕过人工审查，但现有干净标签方法通常依赖攻击者能够访问完整训练集，这在实际中常因数据来自不同来源（如不同用户的图像）而难以实现。Narcissus 的核心贡献在于，它仅需极少量信息（例如少量样本或类级别的统计信息）即可实施有效攻击，无需完整的训练集访问权限。方法上，它利用模型自身的表征空间或可迁移的特征来构造与目标类别语义一致但包含隐蔽触发器的样本，从而在保持标签正确的前提下诱导模型学习触发器与目标类别的错误关联。实验部分（基于摘要）展示了在多个图像分类基准上的攻击成功率，并强调其实用性：即使攻击者信息受限，仍可对深度学习模型构成现实威胁。该论文主要面向机器学习安全研究者、模型部署者和蓝队人员，帮助理解数据供应链中潜在的后门注入风险，并启发设计更鲁棒的防御机制。

本文是一篇系统化知识（SoK）论文，聚焦于真实世界中多层间接调用分析（Multi-Layer Indirect Call Analysis）的现状与挑战。间接调用（如通过函数指针、虚函数表、回调等）是现代二进制程序中常见的控制流转移方式，但其目标在静态分析时往往难以确定，因而成为漏洞挖掘、恶意代码分析和程序理解中的关键难点。论文对现有间接调用分析技术进行了全面梳理，将其划分为多个层次（如指令级、函数级、程序级等），并系统比较了不同方法在精度、召回率、可扩展性和实际可用性之间的权衡。作者通过实验评估了多种代表性工具在实际软件（包括操作系统内核、用户态应用等）上的表现，指出了当前方法在真实世界应用中的局限性，例如由于间接调用目标集合过大导致的误报、分析规模扩大带来的性能开销、以及动态特性（如内联汇编、动态代码生成）对静态分析的干扰。论文还总结了一套面向研究者和工程师的经验法则，帮助其选择适合特定场景的分析策略，并提出了未来研究方向，包括结合机器学习与符号推理、跨语言和跨架构的通用分析框架等。适合安全分析工具开发者、二进制分析研究者和编译器工程师阅读。

本文介绍了 OSS-CRS，一个开放、可本地部署的框架，用于在真实世界的开源软件上运行和组合 cyber reasoning system (CRS) 技术。背景是 DARPA 的 AI Cyber Challenge (AIxCC) 竞赛展示了 CRS 不仅能发现漏洞，还能自主确认和修补，七支参赛队伍在赛后开源了各自系统。但这些系统都绑定于竞赛专用的云基础设施，该基础设施已不复存在，导致系统在原始团队之外几乎无法使用。为解决此问题，作者开发了 OSS-CRS，具备预算感知的资源管理，可灵活组合 CRS 技术，并完全本地化运行。论文的核心贡献是移植了竞赛第一名系统 Atlantis 到该框架中，并在 8 个 OSS-Fuzz 项目里发现了 10 个此前未知的漏洞，其中 3 个为高严重性。OSS-CRS 已公开提供。该研究的意义在于将竞赛级自动漏洞发现能力从封闭环境解放出来，使安全团队能够针对自身关注的开源项目进行持续、自动化的安全审计，显著降低漏洞发现门槛，提升开源软件供应链的整体安全性。文章适合漏洞研究人员、安全工程师和开源项目维护者阅读，以理解如何利用该框架开展高效漏洞挖掘。

该论文介绍了 HotWire，一个用于 DIN 70121 和 ISO 15118-2 车联网（V2G）充电协议的双向测试平台。HotWire 同时实现了恶意充电桩（EVSE）和恶意电动汽车（PEV）两端，并提出了两种具体攻击：A1 为 Autocharge EVCCID 身份冒充攻击，A2 为通过伪造 PreChargeRes 电压声明实现的强制放电攻击。该存档是 USENIX WOOT '26 论文的配套材料，包含完整的 Python 实现、基于 Docker 的 CI 测试框架（240 个单元与集成测试）、参数化仿真脚本、硬件设计、恢复文档、安全说明、AEC 验证入口，以及作为 A2 证据的 Luxgen N7 强制放电测试台架日志。整个评估可在 Docker 和 IPv6 回环模拟中完成，无需真实充电站、车辆或 PLC 调制解调器。研究的核心贡献在于提供了一个可复现的双向安全测试平台，揭示了电动汽车充电协议中身份认证和电压信任方面的漏洞，并演示了如何通过伪造协议消息实现车辆身份冒充和强制放电攻击。该研究面向电动汽车安全研究员、充电基础设施运营商、汽车制造商和协议标准制定者，有助于理解 V2G 通信中的真实攻击面，并为后续安全加固与检测机制研究奠定基础。

联邦学习（FL）通过在多用户间训练全局模型，无需直接访问本地数据集，旨在缓解数据隐私问题。然而，已有研究表明推理攻击（如成员推断、属性推断、数据重建）仍可导致隐私泄露。本文提出一种新型隐私推理攻击——偏好画像攻击（PPA），可准确刻画本地用户模型的私有偏好，例如在线购物中用户最喜爱/不喜爱的商品、自拍中最常见的表情等。PPA 能针对本地用户特征推断 top-k 偏好（k=1,2,3，尤其 k=1）。核心洞察是：本地用户模型的梯度变化对给定类别的样本比例具有可区分的敏感性，尤其是多数类或少数类。通过观察用户模型对某个类别的梯度敏感度，PPA 可以推断该类在用户本地数据集中的样本比例，从而暴露用户对该类别的偏好。联邦学习固有的统计异构性进一步促进了 PPA 的有效性。作者使用四个数据集（MNIST、CIFAR10、RAF-DB 和 Products-10K）进行了广泛评估。结果表明，PPA 在 MNIST 和 CIFAR10 上分别达到 90% 和 98% 的 top-1 攻击准确率。更重要的是，在真实的商业购物场景（Products-10K）中，PPA 以 78% 的 top-1 准确率推断用户最常订购的商品（作为商业竞争对手）；在社交网络场景（RAF-DB）中，以 88% 的准确率推断受害用户最常见的面部表情（如厌恶）。该研究揭示了联邦学习梯度交换中的新隐私泄露风险，对隐私保护联邦学习的实践提出了挑战。

该论文针对特斯拉Model 3的无钥匙进入系统进行了安全研究。Tesla Model 3在传统遥控钥匙之外，还配备了手机钥匙（Phone Key）和钥匙卡（Key Card）功能，旨在提升用户的驾驶体验。其中，手机钥匙功能允许用户将智能手机作为数字钥匙，通过车辆与手机之间的无线认证过程，在无需掏出手机甚至手机放在口袋或包内的情况下即可解锁并启动车辆，这一便捷性也带来了潜在的安全风险。论文的研究问题是：攻击者是否能够在车主完全无感知的情况下，入侵并利用这一无钥匙进入系统，从而非法访问车辆。由于目前仅有论文摘要，具体的技术实现细节、攻击路径、所需设备以及实验验证过程尚未公布。但可以推断，论文的核心贡献在于揭示特斯拉Model 3无钥匙进入系统中存在的安全弱点，可能包括无线认证协议的缺陷、手机与车辆之间通信的薄弱环节，或是应用层验证机制的不足。该研究将有助于安全社区理解现代智能汽车无钥匙系统面临的威胁，并为汽车制造商改进安全设计提供参考。适合汽车安全研究人员、物联网安全专家、特斯拉车主以及智能交通系统安全从业者阅读。

该论文题为《Him of Many Faces: Characterizing Billion-scale Adversarial and Benign Browser Fingerprints on Commercial Websites》，主要针对商业网站上大规模浏览器指纹（browser fingerprint）进行系统性刻画与对比分析。研究聚焦于对抗性指纹与良性指纹的差异，对抗性指纹通常由用户采用反检测工具、隐私浏览器或插件生成，目的是规避追踪或欺诈检测；而良性指纹则来自普通用户正常浏览行为。研究依托商业网站收集了十亿量级的真实指纹数据，构建了大规模数据集，并提出了针对性的特征提取与分析方法，以识别和区分两类指纹在不同维度（如UA、Canvas、WebGL、字体等）上的分布特性。论文的主要贡献包括：首次在如此大规模的真实场景下对比分析对抗性与良性指纹的统计特征；揭示了对抗性指纹在隐蔽性和多样性方面的显著模式；并基于这些发现提出了潜在的检测指标或分类思路。该工作为浏览器指纹识别、在线欺诈防御以及隐私保护研究提供了重要的数据支撑和实证结论。适合对在线跟踪、反检测技术、风控系统感兴趣的蓝队和安全研究人员阅读。

该论文提出了一种名为 OBI 的新型多路径不透明随机访问机（ORAM），旨在解决动态可搜索加密（DSE）中前向隐私和后向隐私保护下的效率瓶颈。动态可搜索加密允许用户在云端加密数据上进行搜索，而 ORAM 常被用来隐藏访问模式，从而实现前向和后向隐私。论文指出，现有基于 ORAM 的 DSE 方案普遍存在一个“大暂存区驱逐问题”（large-stash eviction problem）：当一次性需要读取或插入大量数据块时，传统单路径 ORAM（如 PATH-ORAM）的驱逐算法效率极低。OBI 的核心思想是在每次查询时访问多条树路径，以并行处理大规模数据块集合。作者将传统树形 ORAM 归类为单路径 ORAM，并针对多路径场景设计了两种高吞吐量的驱逐算法，在暂存区较大时，其效率比 PATH-ORAM 的驱逐算法高出数个数量级。论文从理论上证明了 OBI 在本地暂存区大小和插入效率上优于单路径 ORAM，并进行了安全性分析，表明 OBI 在强前向和后向安全模型下是安全的，能够保护搜索模式、大小模式等已知 DSE 泄漏。此外，OBI 可应用于 oblivious 文件系统和支持连接查询的 DSE 方案。实验基于 Enron 数据集，结果表明 OBI 比现有最先进的基于 ORAM 的 DSE 方案效率更高。该研究主要面向密码学、安全存储和云安全领域的研究者，为高性能隐私保护搜索协议提供了新的设计思路。

本文研究电子投票协议中两个关键安全属性之间的相互作用：收据自由性（receipt-freeness，即选民无法向第三方证明自己如何投票，以防止选票买卖或胁迫）和按意愿投票可验证性（cast-as-intended verifiability，即选民能够验证自己的选票确实按照其意愿被投出）。此前这两种属性通常被分开研究，且收据自由性往往通过程序性手段（如投票亭物理隔离）而非密码学保障。本文首先证明，在非交互式投票场景下，除非存在可信权威，否则不可能同时实现收据自由和按意愿投票可验证性，给出了不可能性结果。然后，作者展示了如果存在可信的选民注册机构，则可以通过扩展标准的收据自由性安全定义到交互式投票和腐败设置，设计出同时满足两个属性的协议。最后，他们基于原型实现讨论了协议的性能。该工作为电子投票系统的设计提供了理论边界和可行方向，对隐私保护和可验证性要求兼顾的投票系统构建具有指导意义。

本文提出了一种名为 Sophon 的新型保护框架，旨在防止预训练模型被恶意微调到不道德或非法的下游任务（如隐私推断、不安全内容生成），同时保持模型在原始任务上的性能。作者将这一目标定义为“非微调学习”（non-fine-tunable learning），即让模型具有抵抗特定受限域内微调的能力。核心挑战在于攻击者可能采用多种复杂的微调策略，包括不同的微调方法、优化器、学习率和批大小。受模型无关元学习（MAML）启发，Sophon 设计了精细的微调模拟和微调评估算法，并精心优化训练过程，使模型陷入受限域内难以逃逸的局部最优。实验覆盖了分类和生成两种深度学习模式、七个受限域和六种模型架构，结果表明：对 Sophon 保护后的模型进行微调，所需开销接近甚至超过从零开始训练，从而有效遏制滥用。此外，Sophon 对三种微调方法、五种优化器以及多种超参数配置均表现出鲁棒性。该研究为安全、负责任的人工智能提供了新思路，适合对 AI 模型保护、模型鲁棒性、伦理安全感兴趣的蓝队人员、AI 安全工程师和研究者阅读。

梯度提升决策树（GBDT）是一种在欺诈检测、在线营销和风险管理等真实场景中表现出色且可解释性强的机器学习算法。在实际应用中，两个数据拥有者可能希望在不泄露各自私有数据集的前提下联合训练GBDT模型，这通常通过安全多方计算（MPC）协议来实现。然而，现有的隐私保护GBDT训练框架通常面临较高的通信与计算开销，难以扩展到大规模数据。本文提出了NodeGuard，一个用于大规模GBDT训练和推理的高效两方计算（2PC）框架。NodeGuard的核心贡献在于：1）提出了一种新颖的键控桶聚合协议（keyed bucket aggregation protocol），该协议在全局范围内优化了训练过程中的通信和计算复杂度，从而显著提升效率；2）引入了一种概率近似除法协议，并针对除数公开的情况进行了重新缩放优化，进一步降低了计算成本。NodeGuard严格保证训练和推理过程中不泄露任何敏感的中间结果，确保了隐私安全性。实验部分，作者将NodeGuard与当前最先进的隐私保护GBDT框架进行了对比，结果表明NodeGuard具有极高的效率：在局域网（LAN）环境中，隐私保护GBDT训练性能提升了5.0至131倍；在广域网（WAN）环境中，性能提升了2.7至457倍。该研究为隐私保护机器学习在真实大规模场景中的落地提供了可行的高效解决方案，特别适合对数据隐私要求高且计算资源受限的联合建模任务。

本文对加密货币挖矿池的隐蔽使用进行了系统化研究，尤其关注恶意挖矿程序（cryptojacking）所自建的隐蔽挖矿池。研究背景是：工作量证明（PoW）挖矿能耗巨大，已在美国纽约州、中国和印度等地被禁止，导致挖矿池作为挖矿活动的中心枢纽成为监管执法的重点目标。与此同时，恶意挖矿软件常使用自有的隐蔽挖矿池来规避检测并隐藏收益钱包地址。然而，此前缺乏对隐蔽挖矿池协议实现、使用方式及端口分布的系统性理解，相关研究几乎空白。本文旨在填补这一空白，通过大规模测量与分析，揭示隐蔽挖矿池在真实世界中的滥用情况。论文的主要贡献包括：首次系统化梳理隐蔽挖矿池的协议特征和部署模式；提出基于网络测量和主动探测的方法来识别隐蔽挖矿池；分析其基础设施、运营规模及与已知恶意家族的关联；并讨论了当前检测手段的不足及潜在改进方向。该研究为蓝队和安全分析师提供了针对隐蔽挖矿活动的检测思路和威胁情报视角。由于本文仅为会议论文摘要，具体方法与实验细节尚待全文验证。

此次输入的数据源来自360CERT安全报告（来源URL为工信部ICP备案查询页面），但原文正文摘录为空，标题为备案号‘京ICP证080047号[京备08010314号-6]’，与常规威胁情报文章完全不符。标签中包含‘360’、‘malware’、‘report’、‘apt’，但缺少任何实质性的分析内容、漏洞信息、攻击指标或技术细节。由于没有任何可验证的情报事实，无法确认该条目是否标识了一次真实攻击活动，也无法提取攻击者、恶意家族、影响行业、地区或ATT&CK技术。信息可用性极低，判断价值有限，建议忽略或重新核实来源。

无人机开源飞控 PX4-Autopilot堆栈溢出漏洞 CVE-2025-15150

MongoDB内存泄漏 CVE-2025-14847(MongoBleed)

1Panel 代理证书验证绕过导致任意命令执行漏洞(CVE-2025-54424)

ModelContext Inspector 未授权访问漏洞(CVE-2025-49596)

llamaindex SQL 注入漏洞(CVE-2025-1750)

Screen 本地权限提升漏洞(CVE-2025-23395)

Zabbix认证后SQL注入漏洞(CVE-2024-42327)

ProjectSend认证绕过漏洞(CVE-2024-11680)

PyTorch库RPC框架反序列化RCE漏洞(CVE-2024-48063)

Grafana认证后DuckDB-SQL注入漏洞(CVE-2024-9264)

SPIP BigUp Unauthenticated RCE(CVE-2024-8517)

Rejetto HFS 远程命令执行漏洞(CVE-2024-39943)

Apache HugeGraph-Server Command Execution In Gremlin（CVE-2024-27348）

Zabbix 后台延时注入(CVE-2024-22120)

CrushFTP 认证绕过漏洞（CVE-2024-4040）

Alert for CVE-2026-21992

Alert for CVE-2025-61884

Alert for CVE-2025-61882

Alert for CVE-2024-21287

Alert for CVE-2022-21500

Alert for CVE-2021-44228

Linux 内核提权 CVE-2026-31431(copy-fail)

CVE-2026-0251 GlobalProtect App: Local Privilege Escalation Vulnerabilities (Severity: HIGH)

Alert for CVE-2026-35273

A new LTS-144  version 144.0.7559.261(Platform Version: 16503.94.0), is being rolled out for most ChromeOS devices. This version includes selected security fixes including:516715010 High CVE-2026-76033 Inappropriate implementation in CORS517916024 High CVE-2026-12462 Use after free in Media517153191 High CVE-2026-12025 Insufficient validation of untrusted input513757918 High CVE-2026-76018 Privile

The U.S. Cybersecurity and Infrastructure Security Agency (CISA) on Wednesday added six flaws to its Known Exploited Vulnerabilities (KEV) catalog, including a high-severity security vulnerability impacting Citrix NetScaler ADC and NetScaler Gateway, citing evidence of active exploitation. The vulnerabilities are listed below - CVE-2019-1068 - A remote code execution vulnerability in 

CISA is urging government agencies to immediately patch the Citrix NetScaler vulnerability tracked as CVE-2026-8452. The post Recent Citrix NetScaler Vulnerability Exploited in the Wild appeared first on SecurityWeek.

VulnCheck has disclosed two previously undocumented factory implants in firmware for routers built by Shenzhen Zhibotong Electronics (ZBT), each of which gives an unauthenticated remote attacker the ability to run commands as root on affected devices. The implants, named SPEAKINGSTONE and DARKLANTERN by the company's zero-day research team, are tracked as CVE-2026-74232 and CVE-2026-74233.

本文提出一种名为 Kestrel 的静态分析方法，用于在剥离符号、静态链接和优化后的二进制程序中识别标准化的基于格的抗量子加密算法 ML-KEM 和 ML-DSA。当前缺乏从编译后的二进制代码验证量子脆弱算法是否已被批准的量子安全算法替换的方法；现有的密码发现工具依赖符号、库依赖和运行时行为，但这些信号在二进制剥离后都会丢失。Kestrel 的核心思路是检测 ML-KEM 和 ML-DSA 算法中数论变换（NTT）常量表，这些常量表构成只读数据，是算术运算的基础。Kestrel 从公开的算法参数中提取指纹，通过归一化和多重集匹配定位这些常量表，并从数学上分析了误报概率。实验覆盖四个独立的实现谱系和所有构建变换（包括编译器级混淆），在 128 个样本中实现了 128 个全部检出且零误报。将 Kestrel 应用于生产 Linux 系统的 6,224 个二进制文件时，发现了 12 个包含 ML-KEM 但未编目记录的程序，其中包括 OpenSSH 密钥交换程序和容器管理栈。在多个案例中，抗量子密码代码通过语言运行时进入生产环境，而分发项目并未意识到。Kestrel 能够区分真正的抗量子实现与仅宣传但底层代码不支持的声明，将每次检测归因于其原始代码库，并在磁盘镜像取证试验中，在已删除二进制无法重建时，从未分配空间恢复检测结果。因此，Kestrel 为密码学迁移保证、软件供应链检查和抗量子取证检查提供了实用基础。适合对二进制分析、密码学迁移和供应链安全感兴趣的研究人员和蓝队工程师阅读。

本文提出一种将“披露”与“授权”分离的字段级最小化架构，用于代理操作调解。在传统系统中，授权方必须查看足够多的操作参数才能做出决策，而审计方必须记录足够多的信息以供事后验证，这两股压力导致原始参数（如收件人、付款备注、记录标识符）被写入不可删除的追加型账本，造成隐私泄漏。作者认为这两个需求可以分离：不是按操作类别，而是按字段进行三级分类——策略可合法匹配的字段以原始形式传输；与策略相关但具有标识性的字段仅以投影形式传输（如仅传递邮箱域名或模板化路由形状）；无合法策略用途的字段永不离开发起方的工作负载。核心关键属性是：账本中的承诺（commitment）是在最小化运行之前，对完整未最小化参数计算出的规范摘要。因此该承诺独立于层级表，重新分类某个字段只会改变披露内容，不会使历史条目失效、无需重新哈希或更改离线验证者校验的内容。层级表、策略Schema和线上Schema由每个操作的单一声明统一生成，确保决策方和记录方无法持有不同规则。文章进一步回答了架构必须面对的问题：哪一方应计算每个已证明事实？作者根据“哪一方可能无法被检测地撒谎”来确定，最终得出在一次请求中的三个答案——客户端（唯一持有数据的一方）计算参数摘要；结构上阻止客户端命名治理它的定义，因为那会在签名账本中写入虚假陈述；客户端证明它应用了哪个层级表，从而使得分歧可被检测。作者给出了每个投影的泄漏分析，报告了一个实际事件：第一版投影保留了原本旨在移除的标识符，并指出了设计无法消除的剩余信任。该研究适合关注AI代理安全、隐私保护、审计日志设计的工程师与研究人员。

本文针对任务关键型环境中的网络防御需求，提出了一种面向任务的网络防御框架，用于提升网络态势感知（CSA）和辅助决策支持。研究背景在于：在任务关键型环境中，防御者需要在信息不完整且带有噪声的观测条件下，持续估计不断演化的安全态势，同时保障任务关键功能的连续性和完整性，这要求一个能够统一表征攻击推进、防御方不确定性、任务影响和防御决策支持的综合模型。核心方法是一个基于三层集成概率模型的可执行仿真原型：第一层是攻击图模型，表示攻击者通过任务相关资产的可能的攻击推进路径；第二层是事件模型，通过贝叶斯推理将观测到的遥测数据转换为防御者的后验信念；第三层是状态模型，将推断出的安全态势抽象为冲突状态和任务风险等级。这三个组件与一个单步防御行动规则相连接，该规则在估计的剩余任务风险和操作成本之间进行权衡。框架在一个基于NetLogo的代理仿真中实例化，仿真环境分为战术边缘区（TEZ）、任务作战区（MOZ）和企业支援区（ESZ）。评估方面，作者进行了数学一致性分析、遥测扰动下的局部鲁棒性评估，并展示了代表性仿真轨迹。结果表明，该框架及其实现能够保持攻击推进、遥测驱动的不确定性管理、任务影响评估以及以任务风险优先级为导向的成本感知防御决策支持之间的一致性关系。本文的核心贡献在于提出了一个统一的三层模型，将攻击图、事件推理和状态抽象结合，并提供了可执行的仿真验证。适合读的人群包括：网络态势感知研究人员、任务关键型系统防御架构师、安全运营中心（SOC）分析师，以及从事网络防御决策支持系统开发的工程师。

该论文针对现有基于机器学习的网络安全监控方法缺乏可解释性的问题展开研究。当前方法要么依赖特征归因技术但忽略特征之间的依赖关系，要么需要大量领域知识和计算资源进行因果建模，难以在实际蓝队场景中落地。为此，作者提出 XION 方法，仅利用良性流量学习网络流特征之间的依赖关系，在检测阶段通过识别这些期望依赖关系的违反来发现异常，并在告警后提供多维度的分析能力，包括指出哪些特征关系被破坏、在攻击时间线上的哪个时刻被破坏，以及依赖违反如何相对于其他违规演化。作者在标准入侵检测数据集上，针对包括大流量攻击和隐蔽攻击在内的多种攻击场景，将 XION 与孤立森林 (IF) 基线进行比较。实验结果表明，XION 在所有评估场景中召回率均达到或超过孤立森林，同时推理时间最多降低 7 倍。在告警后分析阶段，依赖违反分析揭示出与已知攻击行为一致的时间与结构模式，这是孤立森林无法提供的。这些发现证实，攻击行为确实会破坏从良性流量中学习到的特征依赖，而这些破坏信息有助于更深入地理解告警。该研究为网络异常检测提供了新的可解释性方向，适合安全分析师、SOC 人员以及从事异常检测研究的研究人员阅读，以探索基于依赖关系的检测与解释在真实环境中的应用价值。

该论文提出了一种面向中小企业（SME）云数据保护的混合后量子加密架构——Quantum Cloud Guard（QCG）。研究的核心动机是“先收割，后解密”威胁：攻击者目前可以截获并存储云存储中的密文，待未来量子计算机成熟后再进行离线破解，从而危及当前使用RSA或ECDH保护的长期敏感数据。中小企业既无法自主掌控底层云基础设施，也缺乏聘请密码学专家的预算，因此面临结构性困境。论文指出，传统的定制化迁移方案仅适用于有充裕安全预算的企业，而托管密钥服务只是将信任从云提供商转移到第三方，并未真正消除信任风险。QCG是一个纯软件的三层架构，其创新点在于首次为中小企业组合了三个要素：客户端混合后量子加密、自托管密钥托管（辅以客户端可验证的ML-DSA-87签名）、以及应用层滥用防护网关。在QCG中，文件永远不会以明文形式离开客户端：每个文件使用AES-256-GCM加密，其对称密钥由企业的密钥服务中的ML-KEM-1024公钥进行封装。密钥服务完全由企业自主管理，并使用ML-DSA-87对每个密钥签名，客户端在固定密钥后即可检测任何密钥替换。论文强调，将密钥托管与数据托管分离是关键设计——任何同时掌握两者的服务商都能读取数据。性能测试表明，在24 MHz STM32F407上，ML-KEM-1024密钥生成耗时40.8毫秒，解封装耗时44.0毫秒；在服务器端，所有后量子操作均保持亚毫秒级，签名仅为每请求0.24毫秒。整个服务可运行在每月4.49欧元的虚拟服务器上。在持续洪泛攻击下，进程内网关Sentinel Gate拒绝了98.8%的攻击流量，同时合法客户端的延迟中位数仅从621毫秒微升至625毫秒。作者承认该实验为单源测试，主要证明过滤有效性而非整体抗DDoS能力。

XRP Ledger采用一种基于唯一节点列表（UNL）的共识机制，网络参与者各自选择一组可信节点并与之通信，以就下一账本状态包含哪些交易达成共识。然而，该共识协议要求各参与者的UNL之间存在显著重叠，且每个UNL内部需达到较高的一致阈值（例如80%）。因此，攻击者可以通过针对网络中构成连接骨干的关键节点，将能够相互通信的可信参与者数量压低至阈值以下，从而破坏整个网络的共识过程。本文针对XRP Ledger现有拓扑的鲁棒性提升问题，提出了基于边缘增强（edge augmentation）的策略，即通过不同的构造方式新增边来增强网络连通性，并与已有工作中基于重连（rewiring）或边缘替换（edge-replacement）的策略进行对比。在每种策略下，作者考虑两种场景：所有节点参与边构造/重连过程，以及仅部分节点参与。作者形式化定义了quorum鲁棒性和网络鲁棒性指标，并以此评估策略效果。实验结果表明，与默认的XRP Ledger拓扑相比，增强策略显著提升了鲁棒性；部分增强策略即使每节点仅增加少量边（如3条），也能达到或超过重连策略的鲁棒性指标。此外，随机K-out增强策略在保持与原始网络拓扑相似性（通过Jaccard相似度衡量）方面优于重连策略。该研究为区块链网络拓扑优化提供了新的思路，尤其适用于依赖信任节点图进行共识的系统。

本论文是一篇关于大型语言模型（LLM）在漏洞评估中产生“AI 垃圾”（AI slop）现象的系统性综述。研究背景是，LLM 的引入虽极大提升了漏洞评估的自动化水平，但也引发信任危机：模型可能生成幻觉漏洞、看似合理但错误的补丁，以及语义重复或改写的漏洞报告，这些低质量产物统称为“AI slop”。这类输出会在人工分诊流程中造成巨大的认知负担，甚至形成类似拒绝服务攻击的效果，淹没真正的安全告警。作者通过结构化文献综述，正式提出了 AI slop 的分类法，并剖析其统一根因：安全专家依赖因果演绎推理，而当前 LLM 基于自回归式概率生成，二者存在根本性“推理差距”。为量化该差距，论文提出可测代理指标“演绎覆盖率分数”（Deductive Coverage Score）。实验梳理表明，思维链提示（CoT）和工具调用型智能体虽能缩小这一差距，但无法完全消除。作者进一步论证，被动式检测方法（如水印）只能追踪输出来源，不能验证输出正确性，且面临熵约束的严重局限；因此，更可靠的路是主动式神经符号验证，即将神经网络的语义理解与符号推理的形式保证相结合，并为流水线各组件匹配已有安全输入限制系统。论文最后设计了两个评估工具：CVE-Bench 和 Slop-Score，详细说明数据集构建、评估指标公式及防作弊机制。核心贡献在于将漏洞评估的验证标准从“语言流畅度”转向“数学可验证性”，为构建可信赖的 AI 驱动漏洞分诊系统提供了路线图。适合安全研究人员、LLM 应用开发者和漏洞管理平台设计者阅读。

该论文提出一种用于对称密钥密码分析的新原语——掩码自相关（Masked Auto-correlation, MAC），并基于此构建了量子攻击流水线。对于给定的置换 f、输出掩码 α、β 以及输入差分 w，掩码自相关度量了掩码输出 α·f(x) 与 β·f(x⊕w) 之间的相关性。作者证明相应的掩码差分-线性（MDL）近似严格推广了多种经典密码分析技术，普通线性密码分析、差分-线性密码分析和差分-线性连接表均是其特例。核心研究问题是寻找具有大掩码互相关的掩码对（即能产生强区分器的掩码对），称为 MAC Fishing。他们给出了一个常数查询量子算法，能够根据平方相关度对这样的掩码对进行采样，并通过改编 Fourier Fishing 的困难性，证明了经典情形下需要 Ω(N/log N) 次查询的指数级下界。据作者所知，这是首个将量子上界与经典下界配对用于识别高相关近似的工作，表明量子算法在此核心任务上具有绝对必要性。在此基础上，论文分析了随机置换下掩码自相关的分布，然后构建了基于容量（capacity）的区分器和密钥恢复攻击，既包含经典版本，也利用振幅估计实现了二次量子加速。最后，作者在缩减轮数的 mini-AES 上进行了实验，验证了所提出方法的有效性。该研究属于理论密码分析前沿，重点在于量子计算为对称密码分析带来的新能力，尚未发现实际利用案例。适合对量子密码分析、对称密码算法安全性评估以及后量子密码迁移感兴趣的研究人员和高级安全分析师阅读。

本文针对基于图神经网络（GNN）的网络入侵检测系统（NIDS）在面对结构化对抗攻击时的脆弱性问题，提出了一种基于对抗训练的防御框架。GNN能够同时利用网络流特征和拓扑模式，在基于特征的对抗攻击下比传统ML检测器更鲁棒，但对通过注入边或插入节点来扰动图结构的攻击仍显不足。现有防御措施常依赖不切实际的假设，难以在真实网络安全场景中落地。作者通过策略性地替换良性网络流中的源节点和目的节点来生成对抗样本，高效模拟边注入攻击，并以此进行对抗训练。实验在CTU-13和TON-IoT两个公开数据集上，以E-GraphSAGE作为基础GNN分类器进行评估。结果表明，该方法能够显著提升检测器在干净图上的检测性能，同时增强对结构化对抗攻击的鲁棒性。该研究为加固GNN-based NIDS提供了实用且有效的防御思路，适合网络安全、入侵检测和对抗机器学习领域的研究者及工程人员阅读。

本文研究后量子密码迁移背景下 SSH 协议的用户认证方案。当前 SSH 向抗量子密码过渡主要聚焦于密钥交换（已在 OpenSSH 部署并标准化），而认证层仍依赖后量子签名替换，导致公钥凭据模型保留但引入了较大的签名尺寸与计算开销，可能增加时延、流量与服务端负载。作者提出一种基于 KEM 的用户认证方法，作为客户端公钥签名的即插即用替代方案：利用会话绑定的挑战-响应证明，将客户端认证从签名改为 KEM 解密/封装验证。该设计紧密适配 SSH 现有用户认证框架，保留公钥凭据模型，可与现有认证方法共存并支持分阶段增量部署。安全性方面，论文在后量子 ACCE（认证与保密信道建立）框架下给出了基于规约的安全论证。实现上，作者基于 OpenSSH 和 liboqs 完成了原型，并在代表性的 RTT、TCP 初始窗口大小和后量子迁移配置下进行了性能评测。实验结果显示：在典型网络环境下，KEM 认证与紧凑签名认证性能相当；相比大签名混合基线，中位握手时延最多降低约 10%。当后量子签名在传输或计算上成为瓶颈时优势更显著：在小 TCP 初始窗口下，中位时延相比 ML-DSA 降低 7.3%，相比 SLH-DSA 降低 17.9%；在同一 NIST 安全级别下，服务端在线密码学成本比 ML-DSA 低 59.1%。该研究为 SSH 后量子认证提供了一条非签名中心的可行路径，尤其适合对握手时延和服务端开销敏感的远程管理场景。

In openNDS before 11.0.0, the client_params.sh script, invoked by the openNDS daemon to serve the authenticated client status page, is vulnerable to OS command injection through crafted HTTP GET query parameter keys. An authenticated captive portal user can inject arbitrary shell commands by embedding semicolons in a URL query parameter name.

A heap-based buffer overflow vulnerability exists in openNDS before 11.0.0 that allows an unauthenticated attacker on the captive portal network to crash the openNDS daemon (denial of service) and potentially achieve remote code execution. This is in http_microhttpd.c.

openNDS before 11.0.0 is susceptible to unauthenticated OS command execution via shell command injection through the fas query parameter on the /opennds_preauth/ endpoint because of libopennds.sh.

Multiple memory leaks in openNDS before 11.0.0 allow an unauthenticated attacker on the captive portal network to exhaust all available memory on the device within minutes.

cpp-httplib is a C++ header-only HTTP/HTTPS library. In versions 0.33.0 through 0.50.0, the TLS-enabled WebSocket client frees the TLS session before closing the WebSocket that still uses it, producing a use-after-free. In WebSocketClient::shutdown_and_close the SSL object is freed and the pointer cleared, but the subsequent WebSocket close still sends a close frame through the SSL socket stream,

cpp-httplib is a C++ header-only HTTP/HTTPS library. In version 0.49.0, the chunked-response trailer output path writes trailer header names and values directly to the socket without validating them, allowing CRLF sequences in a trailer field to inject additional headers or split the HTTP response. Unlike every other header-writing path in the library, the trailer-writing code applies none of the

Ceph is an open-source distributed storage platform providing object, block, and file storage. In versions prior to 20.2.4 and 19.2.6, the Monitor subscription handler fails to properly authorize access to the configuration-key store, allowing any CephX user with only  `mon allow r` capabilities to read the entire store by sending a single crafted MMonSubscribe message. The config-key store holds

Ceph is an open-source distributed storage platform providing object, block, and file storage. In versions prior to 20.2.4 and 19.2.6, the CephX authentication protocol encrypts tickets with AES-128-CBC in an unauthenticated mode that uses a hard-coded initialization vector and no message authentication, allowing an attacker to forge credentials and gain cluster-wide access. Because the ciphertext

An authenticated OS command injection vulnerability exists in ZoneMinder's event export functionality. The exportFile HTTP request parameter is passed unsanitized into a shell command executed via PHP's exec(), allowing any authenticated user with View Events permission to execute arbitrary operating system commands on the server.

Dolibarr 9.0.0 through 23.0.4 saves inbound email attachments under the name supplied in the message's MIME headers without reducing it to a safe basename. The global saveAttachment() in htdocs/emailcollector/lib/emailcollector.lib.php builds $filepath = $path . $filename . '.' . $ext and hands it to file_put_contents(), and the private saveAttachment() in htdocs/emailcollector/class/emailcollecto

Dolibarr before 23.0.4 authorizes REST API document deletion against the wrong permission. Documents::delete() in htdocs/api/class/api_documents.class.php calls dol_check_secure_access_document() with the mode argument 'read' when handling DELETE /api/index.php/documents, while the sibling builddoc() path passes 'write', the correct mode for an operation that modifies stored data. An authenticated

Dolibarr before 24.0.0 contains a SQL injection in its CSV and XLSX import wizard. The wizard reads its update keys with GETPOST('updatekeys', 'array') in htdocs/imports/import.php, which applies only the generic alphanohtml filter: that strips HTML but leaves SQL keywords, comment markers, parentheses, spaces and quotes intact. import_insert() in htdocs/core/modules/import/import_csv.modules.php

A relative path traversal issue in the zip extraction functionality in AWS diagram-as-code (awsdac) in versions 0.10 through 0.23 can allow a third party to write arbitrary files to the local filesystem via crafted zip entry names containing path traversal sequences. This could allow the third party to perform inappropriate actions in the diagram bundle. To remediate this issue, users should up

Trilium is an open-source hierarchical note-taking application. In versions up to and including 0.103.0, the public share-search endpoint does not enforce the per-note shareCredentials and shareHiddenFromTree controls, allowing an unauthenticated visitor to read the titles, tree paths, and content of protected shared notes. The endpoint authorizes only the ancestor note supplied in the request and

Trilium is an open-source hierarchical note-taking application. In versions prior to 0.104.0, the automatic image-download feature accepts file:// URLs in a note's img tags and reads the referenced local file with no path validation, allowing any authenticated user to disclose arbitrary files readable by the Trilium process. When a text note is saved, Trilium scans its HTML for image sources and d

Redis contains a use-after-free vulnerability in the 'tlsProcessPendingData()' function, which handles the TLS pending-data list if Redis is configured with TLS support. A remote, unauthenticated attacker may be able to execute arbitrary commands with the privileges of the Redis server. Fixed in Redis 8.2.9, 8.4.6, 8.6.6, 8.8.2, and 8.10.1.

SpeechBrain before 1.1.1 contains an arbitrary code execution vulnerability that allows attackers to execute arbitrary code by supplying a crafted CKPT.yaml checkpoint metadata file parsed with PyYAML's unsafe loader during candidate enumeration in Checkpointer.recover_if_possible(). Attackers can embed malicious Python object construction tags such as !!python/object/apply in any CKPT.yaml file w

Trilium is an open-source hierarchical note-taking application. In versions up to and including 0.103.0, the default-on "Safe import" filter sanitizes HTML only for text notes and excludes the book note type, whose content is stored without sanitization and later rendered as HTML, allowing an attacker-supplied import archive to embed a payload that executes as script. A book note's content is rout

Trilium is an open-source hierarchical note-taking application. In versions up to and including 0.103.0, the default-on "Safe import" filter sanitizes HTML only for text notes and excludes the mindMap note type, whose JSON content is stored without sanitization, allowing an attacker-supplied import archive to embed a payload that renders as arbitrary HTML. A mind map node can carry a dangerouslySe

The MongoDB client library for PHP does not sufficiently sanitize special elements in application-supplied namespace identifiers before using them to construct the target namespace for database operations. An application that incorporates untrusted text into these identifiers may have operations silently directed at a different storage location than the one the application intended.

A weakness in the MongoDB C Driver allows special elements in caller-supplied database and collection name components to pass without sanitization when the driver composes the target namespace for an operation. An application that incorporates untrusted input into these name components can have operations directed at a resource other than the one intended.

A weakness in the MongoDB C++ Driver's handling of caller-supplied namespace identifiers allows special characters embedded in those identifiers. An application that builds a namespace identifier from untrusted input without validating it may therefore have its operation directed at a different target than intended. This can result in limited unauthorized read and write access to data belonging to

LimeSurvey Community Edition 7.0.5 contains an authenticated improper authorization vulnerability in the survey menu entry creation endpoint. An authenticated user with only the global settings:read permission can directly invoke POST /index.php/admin/menuentries/sa/create and create new survey menu entries without the expected settings:update privilege. The endpoint also allows the attacker to

Trilium is an open-source hierarchical note-taking application. In versions up to and including 0.103.0, the default-on "Safe import" filter does not sanitize note titles, and the GeoMap note view interpolates a marker note's title into raw HTML that is rendered as innerHTML, allowing an attacker-supplied import archive to inject script that runs when the map is displayed. Because Safe import neut

libreoffice-convert is a Node.js module for converting office documents to different formats. Prior to 1.8.2, index.js uses the caller-controlled options.fileName value in path.join(tempDir.name, fileName) without reducing it to a base name. A filename containing ../ can escape the temporary directory because path.basename() normalization is missing and write the supplied document buffer to an arb

Silverstripe Advanced Workflow is a highly configurable step-based workflow module. Prior to 6.4.5, 7.1.3, and 7.2.1, an attacker with permission to author the advanced workflow email template can place a specially crafted server-side template payload in NotifyUsersWorkflowAction.EmailTemplate. When NotifyUsersWorkflowAction renders the field through the Silverstripe template engine SSTemplatePars

Silverstripe UserForms provides a visual form builder for the Silverstripe CMS. From 6.0.0 until 6.4.9, 7.0.7, and 7.1.1, the userform email recipient subject field in the CMS accepts a specially crafted payload that can be interpreted as executable server-side code. An authenticated CMS user with permission to configure a UserForms email recipient can use the subject field to run arbitrary code o

Trilium is an open-source hierarchical note-taking application. In versions prior to 0.104.0, the default-on "Safe import" filter fails to neutralize the shareTemplate relation because that relation is not marked as dangerous, allowing an attacker-supplied import archive to plant a server-side template that leads to remote code execution. The relation is omitted from the built-in list of dangerous

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in woylie doggo allows Reflected XSS. Doggo.normalize_value/2 in lib/doggo.ex returned date field values wrapped in {:safe, ...}, the Phoenix.HTML marker meaning "already escaped, emit verbatim", without escaping them, so the value reached the value attribute of the rendered by the field component

Reflected XSS in Netron versions <=9.1.2 on desktop application through unsanitized node names allows an attacker to hide certain nodes, perform port scanning or abuse a Chrome n-day to achieve Remote Code Execution.

Reflected XSS in Netron versions <=9.1.2 on desktop application through unsanitized node names allows an attacker to hide certain nodes, perform port scanning or abuse a Chrome n-day to achieve Remote Code Execution.

Reflected XSS in Netron versions <=9.1.2 on desktop application through unsanitized node names allows an attacker to hide certain nodes, perform port scanning or abuse a Chrome n-day to achieve Remote Code Execution.

The Twig sandbox mechanism in Craft CMS is configured to allow dangerous functionality from the Yii framework, leading to authenticated RCE similar to previously disclosed vulnerabilities.

An out-of-bounds read was found in the DHCPv4 packet capture code of wicked. ni_capture_inspect_udp_header() in src/capture.c reports the IP total length as the payload length instead of the length of the remaining UDP payload. Consequently, the DHCP option walker in the DHCPv4 client (wickedd-dhcp4) reads up to ihl + 8 bytes — at most 68 bytes — past the end of the 1500-byte packet receive buffer

An integer underflow was found in the DHCPv4 packet capture code of wicked. ni_capture_inspect_udp_header() in src/capture.c does not verify that the IP total length field (ip_len) is at least as large as the IP header length (ihl) before subtracting the header length. An unauthenticated attacker on the same network can thereby trigger an out-of-bounds read past the receive buffer in the wicked DH

startServer.ts in the mcp-http-server package of UI-TARS-desktop defaulted its listen address to '::' when no host was given, so startSseAndStreamableHttpMcpServer bound the Streamable HTTP and SSE MCP transports to every interface, and its authentication middleware was optional: middlewares are applied only when a caller supplies them. The @agent-infra/mcp-server-commands and @agent-infra/mcp-ser

NLTK versions before 3.10.3 contain a filesystem containment bypass vulnerability in the Downloader.download and Downloader.incr_download methods that allows attackers to overwrite files outside the install root through pre-existing hardlinks. Attackers with write access to a shared downloader directory can create hardlinks pointing to outside-root files that are then overwritten during normal pac