Aix-DB through 1.2.4 renders markdown with raw HTML enabled into v-html bindings without sanitization, allowing stored cross-site scripting attacks. Attackers can inject malicious HTML and JavaScript through markdown content in chat responses, skill descriptions, or knowledge messages that execute in users' browsers when viewed.

根据输入信息，Ivanti Endpoint Manager Mobile（EPMM）存在一个代码注入漏洞。Ivanti Endpoint Manager Mobile 是 Ivanti 公司提供的移动设备管理（MDM）解决方案，用于帮助企业统一管理移动设备、应用和安全策略。该漏洞被描述为“代码注入”，意味着攻击者可能通过某种输入方式向服务器端注入恶意代码，进而可能导致在服务器上执行任意命令、篡改配置或获取敏感数据。不过，本次输入中未提供漏洞的具体技术细节、受影响版本、攻击路径以及严重性等级，也没有关联的 CVE 编号。信息来源为知道创宇 Seebug 漏洞库，发布日期为 2026 年 9 月 1 日。由于缺少官方公告或详细分析，目前无法确认漏洞是否已被利用，也无法评估实际影响范围。建议相关用户密切关注 Ivanti 官方安全公告，并尽快核实自身使用的 EPMM 版本是否受影响。

该论文首次系统性地研究了数据集蒸馏（Dataset Distillation）技术面临的后门攻击风险。数据集蒸馏旨在将大规模训练数据压缩成小规模合成数据集，使模型在合成数据上训练后仍能达到与原始数据训练相近的性能，从而提升数据效率。然而，现有研究主要关注资源效率与模型效用之间的权衡，忽视了其潜在的安全隐患。论文提出，在图像域中，攻击者可以在蒸馏过程中而非传统模型训练阶段注入触发器，从而对使用蒸馏数据训练的模型实施后门攻击。作者设计了两种攻击方法：NAIVEATTACK 和 DOORPING。NAIVEATTACK 在蒸馏初始阶段直接向原始数据添加触发器；DOORPING 则在整个蒸馏过程中迭代优化触发器，使其与蒸馏过程深度融合。实验在多种数据集、模型架构和蒸馏技术上进行，结果表明：NAIVEATTACK 在某些情况下能达到可接受的后门攻击成功率（ASR），而 DOORPING 在所有测试场景中均能达到接近 1.0 的极高成功率。此外，论文进行了全面的消融实验，分析了影响攻击效果的关键因素，并评估了多种防御机制，结果显示所提出的攻击方法能够有效绕过这些防御。该研究揭示了数据集蒸馏流程中一个被忽视的攻击面，对机器学习供应链安全提出新的挑战。

该论文首次系统性地研究了函数秘密共享（Function Secret Sharing, FSS）中的访问控制问题。FSS 允许一个分发者将函数 f 的份额分发给两个或多个评估者，评估者可以在不泄露 f 本身信息的情况下，对任意输入 x 本地计算出 f(x) 的秘密份额。然而，传统 FSS 模型未验证分发者是否被授权共享特定函数。本文提出了访问控制 FSS 模型：针对函数族 F 及其上的访问控制列表，评估者在收到 f 的份额后，可以有效验证分发者是否持有该 f 的访问密钥。该模型支持多种新应用，包括多方环境中的匿名认证、私有数据库中的访问控制，以及匿名通信系统中的认证和垃圾信息防护。文中定义的形式化构造抽象并改进了近期多个系统中临时实现 FSS 访问控制的方案。其核心效率提升模块是一个基于离散对数的、支持秘密共享元素上的零知识证明（ZKPoK），该模块本身可能具有独立的研究价值。实验评估表明，在匿名通信场景中，与现有访问控制技术相比，计算开销降低了 50 至 70 倍；在私有数据库应用中，当数据库条目达到 500,000 条以上时，引入访问控制带来的摊销处理成本仅为 1.5 至 3 倍。该工作适合密码学、隐私计算、匿名通信和数据库安全领域的研究者与工程师阅读。

本文提出 Sparrow，一种面向数据并行算术电路的空间高效零知识简洁非交互式证明（zkSNARK）方案。zkSNARK 在实际部署中常因证明者空间开销过大而受限，其空间需求可能比原生计算高出数个数量级。Sparrow 首次在固定有限域上实现证明者空间开销随电路规模增长仅呈次对数因子增长，并且相对于已有的通用算术电路空间高效方案，其证明者空间渐近小于电路规模本身。核心创新是一个具有改进证明者时间的空间高效 sumcheck 论证协议，可作为独立构建块。实验针对三类用例（任意数据并行电路、乘法树、批量 SHA256 哈希）表明，Sparrow 相比目前最先进的空间高效 zkSNARK Gemini，总证明者空间减少 3.2–28.7 倍，证明者时间减少 3.1–11.3 倍。在此基础上，作者利用 Sparrow 构建了决策树训练与预测的零知识证明，其空间效率支持大型数据集和多棵树的森林。与基于 GKR 协议的非空间高效最优时间 SNARK 相比，树训练证明者空间减少 16–240 倍，同时证明者与验证者时间及证明大小几乎不变。值得注意的是，证明者所需空间仅略高于原生计算：对于 400MB 数据集，证明者空间约为原生计算的 1.4 倍。该工作显著降低了零知识证明生成的资源需求，为在资源受限环境中部署基于 zkSNARK 的隐私保护与可验证计算提供了更实际的方案。

本文针对机器学习模型被窃取（model extraction）的知识产权保护问题，提出了一种名为 Entangled Watermarking Embeddings (EWE) 的模型水印方法。传统模型水印通过让模型在训练时过拟合到一些远离任务分布的异常输入-输出对（即水印样本），从而在模型被窃取后，防御者可以通过向模型发起查询并验证是否返回预定的水印输出来证明所有权。但这种水印容易被攻击者通过模型压缩、微调或知识蒸馏等方式移除，因为水印样本与正常任务样本分布差异大，容易被识别并剔除。EWE 的核心思想是让模型在特征空间中将合法任务数据与水印数据‘纠缠’在一起，即强制模型学习同时区分正常分类任务和水印识别任务的特征。这样，攻击者在试图移除水印时，不仅需要删除水印相关的特征，还会不可避免地破坏模型在合法任务上的性能，从而提高了水印的鲁棒性。论文在 MNIST、Fashion-MNIST、CIFAR-10 和 Speech Commands 四个数据集上进行了实验验证，结果表明防御者可以在对被窃取模型进行不到 100 次查询的情况下，以 95% 的置信度成功主张模型所有权，同时水印对原始模型性能的平均损失不超过 0.81 个百分点。该方法为模型所有者提供了一种低开销、鲁棒性更强的模型取证与所有权验证手段。适合关注 AI 模型安全、模型知识产权保护及对抗性机器学习的研究人员和蓝队成员阅读。

根据知道创宇/Seebug漏洞库的公告，Citrix NetScaler 存在一个内存泄漏漏洞，编号为 CVE-2025-5777。内存泄漏漏洞通常会导致设备在长时间运行后内存资源被逐渐耗尽，从而引发性能下降、响应缓慢甚至服务不可用，可能影响依赖 NetScaler 对外提供服务的业务连续性。由于所提供的信息仅包含标题和 CVE 编号，未提供具体的技术细节、影响版本和攻击条件，因此该漏洞的实际影响范围和严重程度尚不明确。虽然没有证据表明该漏洞已被公开利用，但考虑到 Citrix NetScaler 通常部署在关键网络入口处，安全性至关重要，建议相关用户保持关注并及时跟进官方修复方案。

本文是 CrowdStrike 与 Zscaler 于 2026 年 9 月发布的产品合作公告，核心内容是将 CrowdStrike 的 Falcon 平台（EDR/XDR）与 Zscaler 的零信任访问能力（Zscaler Private Access 等）进行集成，实现“持续身份治理”与“零信任访问”的动态联动。具体来说，CrowdStrike 通过终端遥测实时评估用户设备的安全状态（如是否存在恶意活动、风险评估、漏洞暴露等），并将这些信号实时传递给 Zscaler 的访问控制策略引擎；当用户的信任评分下降（例如检测到可疑行为或端点被入侵），Zscaler 会自动调整访问权限，例如撤销会话、强制重新认证或限制对敏感应用的访问。这一集成旨在解决传统 VPN 或静态零信任策略中的“一次认证，长期有效”问题，将安全状态从登录时点扩展到访问持续期间，从而降低账号被盗用或内部威胁导致的横向移动风险。文章没有披露具体技术实现细节或测试数据，但明确指出该方案面向企业客户，适用于混合办公、云应用访问和第三方协作等场景。对于蓝队而言，该合作提供了一种“终端检测结果驱动网络访问控制”的自动化响应思路，但并未涉及具体攻击事件或已知漏洞。

CrowdStrike官方博客宣布推出“面向AI代理的持续身份”（Continuous Identity for AI Agents）功能。该功能旨在为企业和组织中日益普及的AI代理提供持续的身份验证、授权和访问治理能力，确保AI代理在调用API、访问数据或执行任务时，其身份状态始终被实时监控和验证。公告指出，随着AI代理被广泛应用于自动化、分析等场景，它们也成为了网络攻击者（包括APT组织和勒索软件团伙）的潜在目标，攻击者可能通过劫持AI代理身份或滥用其权限进行横向移动、数据窃取或恶意操作。CrowdStrike的这项新功能将身份安全能力与EDR平台集成，帮助安全团队发现并阻断异常行为，减少身份凭证被滥用的风险。由于原文未提供更多技术细节，本摘要基于公告标题和标签信息总结。

Microsoft 发布安全警告，披露一种名为 TerminalFix 的新型 ClickFix 攻击变种。攻击者在已沦陷的网站上植入伪造的 Cloudflare CAPTCHA 验证页面，利用用户对验证码的信任，诱骗访客在 Windows Terminal 中粘贴并运行恶意 PowerShell 命令。这些命令会建立反向隧道，使攻击者能够远程访问受害者主机，进而执行后续恶意活动，如部署勒索软件或窃取数据。该攻击手法结合了社会工程与系统内置工具（Living-off-the-Land），能够规避传统基于文件扫描的安全防护。目前尚未公开关联到特定 APT 组织或恶意软件家族，也未披露具体 CVE 漏洞。Microsoft 建议企业安全团队重点关注该攻击模式，尤其是在终端上监控 PowerShell 的异常执行行为。

A vulnerability was determined in FLVMeta up to 1.2.2. Affected by this vulnerability is the function amf_object_get of the file src/amf.c of the component AMF Object Parsing. This manipulation causes null pointer dereference. The attack may be initiated remotely. The exploit has been publicly disclosed and may be utilized. Patch name: 52642f7dfb76ec7334016622dde60b1ae963d79b. To fix this issue, i

A vulnerability was found in FLVMeta up to 1.2.2. Affected is the function amf_string_new of the file src/amf.c of the component AMF String Processing. The manipulation of the argument length results in heap-based buffer overflow. The attack can be launched remotely. The exploit has been made public and could be used. The patch is identified as f412a33b9a84c2d1a9dee145a868feddbf64879e. A patch sho

MCPHub is a unified hub for centrally managing and dynamically orchestrating multiple MCP servers/APIs into separate endpoints with flexible routing strategies. Prior to version 1.0.32, the built-in prompt and resource controllers perform no role checking. The mutating POST/PUT /api/prompts* and POST/PUT /api/resources* routes are attached to the authenticated router with no admin gate, and the ha

Use of Insufficiently Random Values vulnerability in ash-project ash_admin ships a hardcoded, publicly known CSP nonce, defeating nonce-based Content-Security-Policy protection. When mounted without :csp_nonce_assign_key, AshAdmin.Router.ash_admin/2 defaulted the img, style, and script nonces to the literal constant ash_admin-Ed55GFnX, which AshAdmin.Layouts wrote verbatim into the nonce attribut

Allocation of Resources Without Limits or Throttling vulnerability in ash-project ash_graphql allows an unauthenticated client to bypass the configured GraphQL query-complexity limit and force an unbounded database read. AshGraphql.Graphql.Resolver.query_complexity/3 multiplies child complexity by the requested page size only when the argument map contains :limit (offset pagination). Relay connec

本研究提出一种名为 PHOENIX DOMAIN 的新型通用攻击方法，能够使已被撤销的恶意域名在大规模范围内持续可解析，从而复活旧有的 Ghost Domain 攻击。该攻击不违反任何 DNS 规范或最佳安全实践，因此影响所有主流 DNS 软件和公共 DNS 解析器。研究者系统性地逆向分析了 8 种 DNS 实现的缓存操作，发现了域名委派过程中新的攻击面。通过对 41 个知名公共 DNS 解析器（包括 Google Public DNS 和 Cloudflare DNS）的测试，证明所有被调查的 DNS 服务均易受攻击。大规模测量涉及 21 万个稳定且分布式的递归解析器，结果显示即使在域名撤销和缓存过期一个月后，仍有超过 25% 的递归解析器能够解析该域名。该攻击为攻击者逃避恶意域名下架（take-down）的安全实践提供了机会。研究者已向受影响的厂商报告漏洞，并提出了 6 类缓解方案。截至目前，包括 BIND、Unbound、Google、Cloudflare 在内的 7 家 DNS 软件提供商和 15 家解析器厂商已确认漏洞，部分厂商正在实施或发布缓解补丁。此外，已分配 9 个 CVE 编号。该研究呼吁制定标准，以解决域名安全撤销和缓存一致性问题。适合 DNS 安全研究者、公共解析器运维方、安全厂商以及关注域名基础设施风险的安全从业者阅读。

A path traversal vulnerability exists in Sage Employee Self Service’s custom logo functionality due to improper validation of file path parameters. By leveraging directory traversal sequences and their encoded variants, an attacker may bypass directory restrictions and access files outside the application's intended file system scope. Successful exploitation would require knowledge of valid file n

A vulnerability was found in hyperledger-firefly firefly up to 1.4.0. The impacted element is the function ValidateOptions of the file internal/events/webhooks/webhooks.go of the component Webhook Subscription. Performing a manipulation of the argument url results in server-side request forgery. Remote exploitation of the attack is possible. The exploit has been made public and could be used. The

A vulnerability was determined in FLVMeta up to 1.2.2. Affected by this vulnerability is the function amf_object_get of the file src/amf.c of the component AMF Object Parsing. This manipulation causes null pointer dereference. The attack may be initiated remotely. The exploit has been publicly disclosed and may be utilized. Patch name: 52642f7dfb76ec7334016622dde60b1ae963d79b. To fix this issue, i

A vulnerability was found in FLVMeta up to 1.2.2. Affected is the function amf_string_new of the file src/amf.c of the component AMF String Processing. The manipulation of the argument length results in heap-based buffer overflow. The attack can be launched remotely. The exploit has been made public and could be used. The patch is identified as f412a33b9a84c2d1a9dee145a868feddbf64879e. A patch sho

MCPHub is a unified hub for centrally managing and dynamically orchestrating multiple MCP servers/APIs into separate endpoints with flexible routing strategies. Prior to version 1.0.30, MCPHub scopes non-admin users to servers they own (list views and config edits enforce ownership), but the tool-execution API does not. Any authenticated non-admin user can invoke tools on MCP servers owned by othe

Subject::new_for_owner() in the zbus_polkit crate encodes the uid entry of a unix-process polkit subject as an unsigned 32-bit integer (D-Bus type u), whereas the org.freedesktop.PolicyKit1.Authority interface specifies a signed 32-bit integer (D-Bus type i). Because of this type mismatch, polkit silently discards the caller-supplied UID and instead determines the subject's owner itself by looking

@pdfme/schemas before 5.5.9 contains a cross-site scripting vulnerability in the SVG schema plugin that renders user-supplied SVG content directly to innerHTML without sanitization. Attackers can inject malicious SVG with embedded scripts, event handlers, or foreignObject elements to execute arbitrary JavaScript in users' browsers when viewing or filling templates.

@pdfme/schemas before 5.5.9 contains a cross-site scripting vulnerability in the Select schema plugin that fails to sanitize option values before interpolating them into HTML via innerHTML. Attackers can supply malicious templates with crafted option values containing HTML and JavaScript to execute arbitrary code in users' browsers.

pdfme pdf-lib versions before 5.5.10 contain an unbounded buffer growth vulnerability in the DecodeStream.ensureBuffer() method that allows attackers to cause denial of service by supplying a crafted PDF with a FlateDecode stream containing a decompression bomb. Attackers can upload a small compressed PDF that decompresses to hundreds of megabytes, exhausting memory and crashing the Node.js proces

@hulumi/baseline versions before 1.3.2 fail to fully detect CloudTrail selector tampering events, reducing audit logging configuration change coverage. Attackers can modify CloudTrail event selectors without complete detection, potentially evading audit trail monitoring.

@hulumi/policies versions before 1.3.2 contain an evidence validation bypass vulnerability in Cloudflare and deployment-governance validators that allows attackers to suppress violations by submitting unrelated compliant evidence. Attackers can use evidence from different zones, hostnames, origins, or repositories to bypass security guardrails for unrelated resources in the same stack.

A security flaw has been discovered in valkey-io valkey 9.1.0. The affected element is the function handleClientsBlockedOnKey of the file src/blocked.c of the component Blocked-on-keys Subsystem. The manipulation results in use after free. The attack may be performed from remote. A high complexity level is associated with this attack. The exploitability is described as difficult. The exploit has b

Improper Limitation of a Pathname to a Restricted Directory (Path Traversal) vulnerability in ash-project ash_admin allows writing attacker-controlled bytes to arbitrary paths on the server. AshAdmin.Components.Resource.Form.consume_file_uploads/1 builds the destination as Path.join([tmp_dir, entry.client_name]) and writes it with File.cp!/2. entry.client_name is the browser-supplied filename and

Stored Cross-site Scripting vulnerability in ash-project ash_admin executes attacker-supplied record content as script in an administrator's browser. The relationship typeahead components AshAdmin.Components.Resource.RelationshipField and AshAdmin.Components.Resource.ManagedRelationshipSelectField highlight the matched search term by wrapping it in tags and rendering the whole string with Phoeni

Authorization Bypass Through User-Controlled Key vulnerability in ash-project ash_ai allows a caller of an identity-configured tool to update or destroy records it never identified, including every row in the table. In AshAi.Tool.Execution, identity_filter/3 built the update/destroy filter directly from the raw tool arguments as [{key, Map.get(arguments, to_string(key))}] and passed it to Ash.Que

Origin Validation Error vulnerability in ash-project ash_ai allows a malicious web page to bypass the MCP server's DNS-rebinding protection and issue cross-site requests to a user's local MCP server with that user's actor. In AshAi.Mcp.Server, with the default allowed_origins: nil, origin_allowed?/3 accepts an origin when uri.host == conn.host and the forwarded scheme is https. Both values are at

A vulnerability has been found in LogNet grpc-spring-boot-starter up to 5.2.0. Affected is an unknown function of the component Annotation Processing. Such manipulation leads to improper authorization. The attack may be performed from remote. A high complexity level is associated with this attack. The exploitability is told to be difficult. The exploit has been disclosed to the public and may be u

PLANET VDR-300NU ADSL Router - 未授权修改DNS

Acknowledgements

Incorrect access control in the delIpPortFilterRules function of TOTOLINK T6 4.1.5cu.748_B20211015 allows unauthenticated attackers to remove firewall filter rules via sending a crafted POST request to /cgi-bin/cstecgi.cgi.

The affected Ebyte product uses a deprecated hashing algorithm in an authentication-related operation. Under conditions where an attacker can manipulate or predict the authentication exchange, the weak construction may reduce the assurance provided by the authentication mechanism and facilitate unauthorized access.

eBPF 是一项可在特权上下文中运行沙箱程序的革命性技术，广泛应用于 Linux 内核网络监控、Windows 拒绝服务防护以及区块链智能合约执行等场景。然而，eBPF 实现中的缺陷可能造成广泛而严重的影响。以往研究主要关注 eBPF 运行时（runtime）的内存安全性，很少能检测实现缺陷（即实现是否正确）；且现有实现缺陷检测方法多聚焦于验证器（verifier）中的漏洞，忽略了解释器（interpreter）和 JIT 编译器等其他组件。本文提出 BpfChecker，一个基于差分模糊测试（differential fuzzing）的框架，用于检测 eBPF 运行时的实现缺陷。该方法以 eBPF 程序为输入，在不同 eBPF 运行时的关键状态间执行差分测试，从而发现实现不一致。为增强生成程序的语义，作者设计了一种轻量级中间表示，并在错误消息指导下进行约束变异。作者实现了 BpfChecker 原型，并在三个 eBPF 运行时（Solana rBPF、vanilla rBPF、Windows eBPF）上进行了广泛评估。结果表明，共发现 28 个新的实现缺陷，获得 2 个 CVE 编号以及约 800,000 美元漏洞奖励，并得到开发者致谢。更重要的是，其中 2 个新发现的缺陷能够导致 Solana 网络执行层出现分歧（divergence），威胁共识一致性。该工作表明差分模糊测试在揭示跨运行时语义差异方面非常有效，也为针对 eBPF 生态的漏洞挖掘提供了新思路。适合关注系统安全、虚拟化技术、区块链底层安全的研究人员和安全工程师阅读。

Support Genix 是一款 WordPress 客服工单插件（Helpdesk、AI 聊天机器人、知识库与客服支持系统）。在 1.4.52 及之前的所有版本中，存在一个严重的认证绕过漏洞，可导致管理员账户被完全接管。漏洞根因在于 `guest_ticket_login()` 函数及其 `p` 参数：站点全局 AES-256-CBC 加密密钥仅由三个两位随机数（`wp_rand(10,99)`）和一个 Unix 时间戳经 `md5()` 派生而来，总熵仅约 19.5 位；同时，初始化向量（IV）由密码确定性生成，密文缺少认证标签，且公开可访问的 `/sgnix/?p=<token>` 端点没有任何能力检查、nonce 或会话验证。攻击者只需拥有订阅者级别及以上的账户权限，并能获取一个合法的访客工单 token 作为已知明文预言机，同时大致确定插件激活时间戳，即可在离线状态下穷举约 72.9 万个候选密钥，恢复站点全局加密密钥，然后伪造包含 `{ticket_id, ticket_user}` 的恶意 token，指向任意管理员拥有的工单。将伪造 token 提交到未受保护的端点后，WordPress 会调用 `wp_set_auth_cookie()` 为该管理员设置认证 Cookie，攻击者从而获得该管理员账号的完整访问权限，进而完全控制 WordPress 站点。该漏洞 CVSS 评分为 8.8（高），影响机密性、完整性和可用性。建议立即升级到已修复版本，或暂时限制该端点的外部访问，并启用登录与账户变更审计。

The WPLP Cookie Consent – Cookie Banner & Consent Management for GDPR, CCPA & Google Consent Mode plugin for WordPress is vulnerable to arbitrary file upload due to missing file type validation in the saas_upload_logo() function combined with an authorization bypass on the WPLP connector REST endpoints in all versions up to, and including, 4.4.1. This makes it possible for unauthenticated attacker

A security vulnerability has been detected in RedPort Optimizer wXa-203, Optimizer wXa-213 and Optimizer wXa-223 up to 20260704. This impacts the function exec of the file /xgatev1/system/datetime.php of the component System Clock. The manipulation leads to command injection. The attack may be initiated remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted ear

A vulnerability was determined in QVidium Opera11 3.3.2a26-Ax4x-opera11. This affects an unknown part of the file /cgi-bin/net_tr.cgi of the component CGI Script. This manipulation of the argument ipaddr causes command injection. The attack may be initiated remotely. The exploit has been publicly disclosed and may be utilized. The vendor explains: "QVidium has now closed its doors and no longer wi

A vulnerability was detected in Dokploy up to 0.29.7. This issue affects the function writeTraefikConfigInPath of the file packages/server/src/utils/traefik/application.ts of the component Settings. The manipulation of the argument path results in path traversal. The attack can be launched remotely. The exploit is now public and may be used. The vendor was contacted early about this disclosure but

### TL;DR This vulnerability affects all Kirby sites where users of a particular role have access to the REST API (`access.panel` permission is enabled) but no permission to upload any kind of file (`files.create`, `files.replace` and `user/users.update` permissions are all disabled). It was possible to fill up the temporary directory for chunked uploads with unfinished chunks even as a user wit

Unauthenticated PHP Object Injection in Tickera <= 3.6.0.2 versions.

Unauthenticated SQL Injection in Smart Marketing SMS and Newsletters Forms <= 5.1.24 versions.

Unauthenticated SQL Injection in Throws SPAM Away <= 3.8.2 versions.

Improper Validation of Specified Quantity in Input vulnerability in Silk Themes Newspapers X allows Malicious Software Implanted. This issue affects Newspapers X: from 1.0.46 through 1.0.48.

Unauthenticated Arbitrary File Upload in Hash Form <= 1.4.2 versions.

Unauthenticated SQL Injection in WP Data Access <= 5.5.81 versions.

A malicious webpage could stall a popup's cross-origin navigation after commit, causing the address bar to display the destination origin while continuing to render attacker-controlled content. This vulnerability was fixed in Firefox for iOS 155.0.

TechStore 1.0 is vulnerable to Cross Site Scripting (XSS). In contact_display, the application echoes the id parameter verbatim into the rendered page, permitting execution of attacker-supplied JavaScript in users browser.

Incorrect access control in the CloudSrvVersionCheck function of TOTOLINK T6 4.1.5cu.748_B20211015 allows unauthenticated attackers to trigger cloud update checks via sending a crafted POST request to /cgi-bin/cstecgi.cgi.

Pangolin before 1.22.0 contains an authentication bypass vulnerability that allows unauthenticated attackers to access any protected resource by supplying an attacker-controlled URL parameter to the share-link authentication endpoint that omits the expected resource identifier from the token verification call. Attackers holding a single valid share link for any resource can authenticate against ar

### Summary The built-in social login providers accept an OAuth callback even when the `state` value is absent on both sides, so the anti-CSRF check passes for a callback that never came from a genuine login attempt. This defeats the `state`-based CSRF protection under default usage. ### Details The `state` check treated two absent values as a match, so a callback that omits `state` — and for w

Incorrect access control in the delWiFiAclRules function of TOTOLINK T6 4.1.5cu.748_B20211015 allows unauthenticated attackers to remove Wi-Fi ACL rules via sending a crafted POST request to /cgi-bin/cstecgi.cgi.

Firefox browsers

Sign in to Cloud

Sign Up for Free Cloud Tier

iOS 26.4.2 and iPadOS 26.4.2

iOS 18.7.8 and iPadOS 18.7.8

iOS 18.7.7 and iPadOS 18.7.7

iOS 26.4 and iPadOS 26.4

Background Security Improvements for iOS, iPadOS, and macOS

iOS 16.7.15 and iPadOS 16.7.15

iOS 15.8.7 and iPadOS 15.8.7

iOS 26.3 and iPadOS 26.3

iOS 18.7.5 and iPadOS 18.7.5

iOS 26.2 and iPadOS 26.2

iOS 18.7.3 and iPadOS 18.7.3

Compressor 4.11.1

Android Code Search

Android Devices

Secure an Android device

Android 16 QPR2

Mobile network security

iOS 26.5 and iPadOS 26.5

iOS 18.7.9 and iPadOS 18.7.9

iOS 16.7.16 and iPadOS 16.7.16

iOS 15.8.8 and iPadOS 15.8.8

MFSA 2026-49Security Vulnerabilities fixed in Firefox for iOS 151.0

MFSA 2026-52Security Vulnerabilities fixed in Firefox for iOS 151.1

MFSA 2026-53Security Vulnerabilities fixed in Firefox for iOS 151.2

MFSA 2026-55Security Vulnerabilities fixed in Focus for iOS / Klar 151.3.1

MFSA 2026-56Security Vulnerabilities fixed in Firefox for iOS 152.0

iOS 26.5.2 and iPadOS 26.5.2

MFSA 2026-65Security Vulnerabilities fixed in Firefox for iOS 152.3

MFSA 2026-66Security Vulnerabilities fixed in Firefox for iOS 152.4

iOS 26.6 and iPadOS 26.6

MFSA 2026-73Security Vulnerabilities fixed in Firefox for Android 153.0.3

iOS 26.6.1 and iPadOS 26.6.1

iOS 18.7.10 and iPadOS 18.7.10

【大模型服务平台 TokenHub】&【智能体开发平台 ADP】& 【云开发 CloudBase】 关于腾讯云 DeepSeek-V4-Flash (Model ID：deepseek-v4-flash) 模型下线及切换升级的通知

MFSA 2026-81Security Vulnerabilities fixed in Firefox for iOS 155.0

Firewall for AI

Microsoft is investigating a widespread service issue causing authentication issues, email delays and failures, and various other issues for Exchange Online customers. [...]

The researchers discovered Fire Ant's new tactic after finding an active GRE (Generic Routing Encapsulation) tunnel interface on a Cisco IOS XR router that could not be explained by a running configuration or commit history. [...]

本文提出了一种名为 JITterFlip 的新型比特翻转攻击（BFA），首次将攻击目标对准 GPU 上 LLM 推理服务的宿主端（host-side）JIT 编译控制平面。现有的大多数 BFA 攻击针对模型参数或权重，需要模型特定知识，且仅能导致推理能力下降；少量工作通过破坏可执行代码来降低依赖，但仍局限于直接实现模型计算的代码。JITterFlip 通过翻转 CPU 上驻留的 serving 决策（如分支判断）来影响 GPU 上的执行，实现两种攻击效果：生成无意义输出（gibberish output）和保持正确输出的海绵攻击（latency sponge）。为了在庞大的 JIT 编译器中识别可利用目标，作者开发了决策引导的故障脆弱代码分析技术。在四种文本和多模态 LLM 工作负载上，识别的脆弱代码具有跨模型可迁移性，可产生 PPL 比（困惑度比）为 15.45 倍到 2.48×10^6 倍的无意义输出，海绵攻击的延迟放大为 2.03 倍到 181.90 倍。此外，JITterFlip 能够绕过现有的 LLM BFA 防御。最后，作者展示了端到端的 Rowhammer 攻击：在 CPU 驻留的分支代码中注入单个比特翻转，即可跨越 CPU-GPU 边界干扰 GPU 执行的推理，无需直接访问 GPU 内存，PPL 放大最高可达 7.23×10^6 倍，延迟放大最高 124.97 倍，同时保持生成输出完全正确。该研究揭示了 JIT 编译控制平面这一新的攻击面，突破了以往针对权重或模型代码的 BFA 局限。

本文研究 LLM 智能体在遭受间接提示注入时的能力管控问题。LLM 智能体通常会将外部技能（如工具调用）的输出直接放入执行上下文，使攻击者可通过操控外部数据来影响后续特权操作。现有防御手段主要分为两类：对不可信内容进行分类过滤，以及对智能体提出的操作进行权限授权；但它们均未处理一个关键问题：一旦不可信数据进入智能体状态，智能体未来的权限应当如何动态调整。作者提出 SkillGuard，一个位于 harness 层的强制执行机制，将不可信数据进入状态视为“污染”事件，并据此限制后续能力，使最终状态与部署者定义的禁止状态分离。SkillGuard 的核心组件包括：技能影响图（Skill Impact Graph）用于表示安全相关的状态转移；转向签名（steerability signatures）用于规定对技能参数的合法控制范围；以及一个内联的引用监视器（inline reference monitor）来中介技能调用。在发生污染后，SkillGuard 使用二进制、分数或分数流策略计算加权能力限制，整个过程不需要额外的 LLM 推理。实验基于 AgentDojo 的四个套件，使用 Gemini 2.5 Flash 和 Llama3.3-70B 两个后端 LLM，与仅 LLM 的无防御基线以及三个不同系统层的防御（Spotlighting、CaMeL、AttriGuard）进行比较。作者还构建了一个组合攻击基准，其中每个攻击组合单独观察不足以导致目标违背，并在此基准上评估同样基线。结果表明，在 AgentDojo 的 Tool Knowledge 攻击下，SkillGuard 在四个套件中的三个上完全消除了攻击成功，在 Slack 套件上将成功率降至 4.8% 和 14.3%。针对组合攻击，SkillGuard 在 Llama 上优于所有基线，在 Gemini 上与最强基线性能相当且良性工具效用更高。分数流限制在相同攻击成功率下保留了比二进制限制多得多的能力。两种设置下，SkillGuard 均未增加额外的模型调用或 token 开销。本文适合 LLM 安全研究者、AI agent 框架开发者以及关注供应链安全的蓝队成员阅读。

本文针对多智能体AI系统中跨部署者动态委派场景的可信审计问题，提出了一种不依赖共享权威、公共日志或预提交工作流的两层证明（attestation）设计。核心动机是：当多智能体应用由独立运营的部署者协作完成时，一旦发生安全事件，验证者必须回答两个关键问题：一是哪一方部署者发布了被报告的输出字节，二是每个跨部署者边是否经过双方授权。传统凭据只能证明身份，但无法将身份绑定到后续输出字节，也无法证明动态创建的边获得了双方部署者的授权。作者设计了一个受信任的部署者运行时，对每次发布的输出哈希签名，从而记录发布的字节；同时通过祖先证据（ancestry evidence）记录边授权。论文在统一威胁模型下比较了三种实现方案：签名链表、Merkle链变体以及协同签名DAG（co-signed DAG），并指出在子密钥泄露后，单签名者方案允许未授权的父绑定，而协同签名DAG因要求父方授权边而能拒绝此类攻击。实验在Apple M1 Pro上验证：仅祖先检查每跳耗时24.3–499.2微秒；在本地多服务工作流中，父智能体发现子智能体的A2A Agent Card，子智能体调用MCP工具并发布本地LLM输出，所有30个签名DAG任务均通过完整验证，而受控的子密钥唯一声明被拒绝；端到端平均延迟为813.1毫秒，相比无证据场景的770.8毫秒略有增加。在补充的三可用区AWS部署中，全部1000条有效的协同签名DAG路径验证通过，签发平均耗时3.651毫秒，完整验证平均耗时5.015毫秒（未包含TLS/mTLS、KMS及模型服务延迟）。本文的主要贡献在于部署者侧的绑定机制以及回答上述两个问题所需的证据结构，使用标准密码学原语，适合关注多智能体系统安全审计、可追溯性和响应式检测的研究人员与安全架构师。

该论文研究了大语言模型（LLM）智能体在使用知识型工具过程中的安全风险。LLM智能体通过工具调用访问底层文件、数据库和搜索索引，以增强领域服务能力，但同时也引入了工具介导的知识提取攻击面：攻击者可以通过精心设计的输出来逐步恢复目标工具背后的源数据。论文系统性地分析了这一风险，并指出工具调用带来的两个主要挑战：一是工具选择不确定性，即智能体可能因选择竞争性工具而偏离目标工具；二是工具参数压缩，即智能体在生成工具参数时可能丢失细粒度的查询信息。为此，作者提出了ToolSiphon，一种仅基于查询（query-only）的提取攻击方法。该方法利用两种互补信号：目标判别信号（通过工具对比分析实现）用于引导查询走向目标工具，以及响应锚定事实信号（通过证据链反馈实现）用于缓解参数压缩并逐步扩大提取覆盖范围。实验在三种不同类型的知识型工具和六个领域数据集上展开，结果显示，在了解非目标工具粗粒度信息的情况下，ToolSiphon平均可恢复原始记录的74.3%，文本恢复准确率达83.2%，语义相似度达90.2%；即使缺少此类信息，仍能恢复66.3%的原始记录。此外，该方法对代表性防御措施以及三个真实世界智能体平台依然有效。论文揭示了LLM智能体知识工具面临的新兴数据泄露威胁，并提出了一种可复现的攻击框架，为后续防御研究提供了基础。

本文研究云-边协同解码范式中的隐私泄露问题。在该范式下，资源受限的边缘设备持有私有数据，并运行一个小语言模型（SLM）生成下一token分布；云端LLM仅基于公开数据进行预测；两者分布融合后生成最终输出。这种设计旨在避免将私有数据直接上传至云端，但本文作者通过构造QA数据集并设计新颖的评估框架，系统性地分析了该范式，发现协同解码过程仍会泄露大量私有上下文信息。为缓解该问题，作者提出CoVeil防御机制，它在解码时动态优化边缘与云端之间传输的信号，在保持协同生成质量的同时抑制隐私泄露。大量实验表明，与现有基线相比，CoVeil能够在隐私-效用权衡上取得一致改进，数据泄露最多可减少87.2%，且精度损失极小。该研究为云-边协同LLM推理场景提供了隐私风险评估方法和实用的防御思路，适合关注LLM隐私保护、边缘计算和模型部署安全的研究人员与工程师阅读。

本文提出 BEACON，一个基于 LLM 的跨来源网络威胁情报（CTI）知识图谱自动构建框架。研究背景是：大量 CTI 以非结构化报告形式存在，数量庞大且异构性强，人工分析难以应对；现有自动构建知识图谱的方法大多只处理单篇报告的部分信息，未解决跨来源场景中同一威胁被赋予不同名称的实体对齐问题。核心洞察是：攻击行为一旦映射到 MITRE ATT&CK 这一标准化技术目录，即可作为报告的“锚点”。攻击行为是报告描述中的对抗性动作，而上下文实体（如威胁行为体、活动、受影响产品）和失陷指标（IoC，如 IP 地址）则是其参与者与痕迹；将这些元素挂接到锚点后，每篇报告的局部图都能被置于同一个规范空间中。BEACON 分两阶段实现该思路：第一阶段采用“先提出后验证”范式，将每篇报告抽取为图，以报告证据和官方 ATT&CK 定义为基础进行候选验证，抑制 LLM 的误分类与幻觉；第二阶段通过分层对齐策略合并图，按确定性递减顺序依次使用字符级相似、语义相似、技术邻域重叠等信号，并在合并过程中迭代更新邻域。由于现有基准均未将实体关联到技术锚点，也未提供跨来源对齐的真值，作者从 34 个来源构建并发布了两套人工标注数据集：据作者所知，这是最大的报告级 CTI 抽取数据集（8,395 个元素）以及首个跨来源整合数据集（3,487 个元素）。实验显示，BEACON 在两项任务上分别比所有基线至少高出 23% 和 9%。

本文是一篇系统文献综述，聚焦于基于大型语言模型（LLM）的智能体（Agent）在软件与系统安全领域中的应用。研究背景是：安全分析工作往往依赖程序化流程，分析师需要检查异构工件、形成假设、调用工具、解读输出并修订计划。LLM智能体具备规划、工具使用、状态保持和多步工作流中修订行动的能力，因此正被快速采用以自动化这些任务。然而，该领域缺乏系统性理解：术语“Agent”的使用不一致，不同应用的安全风险差异显著，且评估协议往往无法相互比较。为提供全面且连贯的视图，作者对2023至2026年间同行评审的文献进行了系统梳理，从三个维度展开：（1）技术方法，涵盖智能体架构、感知、记忆、推理与规划、动作空间、编排和自改进；（2）应用，即所服务的安全任务类型；（3）评估，包括数据集、结果与轨迹指标、安全措施和基线。综合结果表明，当前构建的智能体具备行动能力，但尚未实现权限边界明确或行为可审计的智能体。此外，论文总结了现有方法、应用和评估设计的局限与挑战，并指明了未来有价值的研究方向。该综述为安全从业者和研究者提供了关于LLM智能体的系统化知识图谱。

Cloud & Application Security

From Scanner to Stealer: Inside the trivy-action Supply Chain Compromise

Next-Gen Identity Security

CrowdStrike Expands Identity Leadership with OpenID and IDPro

cloud architecture assessment

ransomware and multifaceted extortion defense

Google Cloud Next 2026Catch-up sessions on the keynotes and select sessions are now available on demand.Explore content on-demand

The Identity Problem Hiding in AI Agent Deployments

94% of Organizations Report Cloud Breaches: CrowdStrike State of CDR Survey

Falcon Cloud Security June 2026 Release: Updates for Azure and Google Cloud

Falcon Cloud Security July 2026 Release: Helping Security Teams Move Faster in the Cloud

CrowdStrike Named Strongest Overall Leader in 2026 Frost Radar™: Cloud Workload Protection Platforms

Threat actors associated with Aurora (aka Aur0ra) ransomware have been observed using SpaceX's artificial intelligence (AI)-powered coding assistant Cursor to break into target networks, according to findings from CloudSEK and Gambit Security. The two independent analyses are based on exposed infrastructure associated with the Russian-speaking cybercrime group, leading to the discovery of its

该论文研究推测执行（speculative execution）与信息流语言中“去分类”（declassify）机制之间的相互作用。在实用的信息流编程语言中，程序员可通过 declassify 构造声明有意泄露的数据，例如从私钥计算出的签名或密文通常被信息流分析视为秘密，而密码库可用 declassify 将其公开。论文发现推测执行会导致去分类点产生非预期的信息泄露：攻击者可利用瞬态执行在错误的时间访问正确的内存位置，从而绕过常规信息流保证。作者给出了一个针对 AES 实现的 PoC，能够从标准实现中恢复密钥，该 PoC 是 Spectre 攻击的一个实例，并且在程序使用广泛使用的编译器级防护手段——推测负载加固（SLH）编译时仍然有效。为应对这些攻击，论文提出了形式化对策，包括对 SLH 的重大改进，称为选择性推测负载加固（selSLH）。这些对策能有效地强制执行相对非干涉（RNI），非正式地说，受保护程序的推测性泄露被限制为原程序已有的顺序泄露。作者在专为高保证密码学设计的 FaCT 语言和编译器中实现了最简单的对策，性能开销最多为 10%；虽然未直接实现 selSLH，但初步评估表明，与传统 SLH 相比，selSLH 能显著降低密码学函数的性能成本。该研究揭示了现有防护（如 SLH）在去分类场景下的盲区，为高保证密码学实现提供了新的形式化安全保证和可落地的加固方向。

该论文揭示了一个由DNS协议设计原则引发的严重安全问题。传统互联网协议设计原则要求“发送时严格，接收时宽容”，DNS也不例外。为了支持新应用，DNS被设计为透明处理各类记录类型（RFC3597），即任何应用只需创建新的DNS记录，即可通过现有DNS基础设施分发，无需修改服务器。作者通过互联网范围测量发现，超过130万个（占测试的96%）开放DNS解析器遵循标准，透明处理DNS记录。然而，这种透明性引入了一个严重漏洞：攻击者可以将恶意载荷编码到DNS记录中，从而发起字符串注入攻击。论文展示了一种新方法，利用DNS记录作为载体，向流行应用注入恶意字符串，进而实现新型DNS缓存投毒攻击。实测发现105K个开放解析器对该投毒攻击易感，且常见的DNSSEC配置无法防御。攻击面不仅限于内部服务，也影响公共基础设施，例如所有eduroam服务均易受攻击，可导致未授权访问、资源耗尽等后果。根据应用类型，攻击可能造成系统崩溃、数据损坏和泄露、安全防护降级，甚至远程代码执行和任意错误。研究还发现，所有遵循标准的开放DNS解析器都允许对其网络上的应用和用户发起此类注入攻击。论文的主要贡献在于揭示了DNS透明性机制的安全代价，证明了传统协议健壮性原则与现代应用结合时可能产生的新漏洞，并系统评估了漏洞的互联网范围影响。适合DNS基础设施运维者、应用安全工程师和协议设计者阅读。

本文首次提出并系统研究了内存压缩算法中的时序侧信道攻击，命名为 Decomp+Time。此前针对压缩算法的侧信道研究仅利用了压缩率（如压缩后数据大小）这一指标，而本文发现解压过程中的数据依赖操作也会引入可观测的时序差异，从而构成信息泄露通道。该攻击影响范围远大于此前工作，因为内存压缩在现代操作系统中被广泛使用（如 Linux ZRAM、云环境、浏览器等），且即使应用仅通过远程接口暴露也可能被利用。核心挑战在于如何构造攻击者可控的压缩载荷，以足够的分辨率触发并放大解压时序差异。为此，作者设计了一个进化模糊测试工具 Comprezzor，能够自动搜索有效的 Decomp+Time 载荷，优化延迟差值，使得解压时间差异即使在远程网络条件下也能被可靠观测。实验表明，Decomp+Time 在本地泄漏速率可达 9.73 kB/s，在跨互联网（14 跳）场景下仍有 10.72 bit/min 的稳定速率。作者在四个不同场景中验证了攻击：1）通过远程 PHP 脚本从 Memcached 以 1.50 bit/min 泄漏数据；2）通过 Python-Flask 应用中的 PostgreSQL 数据库跨互联网以 2.69 bit/min 泄漏数据库记录；3）在 Linux 上从 ZRAM 压缩页面以 49.14 bit/min 本地泄漏机密；4）在启用 ZRAM 的系统上，从 Google Chrome 浏览器内的 V8 引擎泄漏内部堆指针。这些案例证明，即使目标仅通过远程接口可达，压缩敏感数据也可能导致严重的信息泄露。因此，本文呼吁重新审视压缩在敏感数据上的使用安全。研究贡献包括：首次提出内存压缩时序侧信道攻击、自动化载荷生成工具 Comprezzor、跨本地与远程的多场景实证分析，以及对现有压缩安全假设的挑战。适合系统安全研究者、操作系统与云平台开发者、以及关注数据泄露风险的蓝队人员阅读。

本论文提出了一种名为 Reckle trees 的新型向量承诺（vector commitment）方案，其核心创新在于将简洁递归论证（succinct recursive arguments）与 Merkle 树相结合，从而支持可更新的简洁批量证明（updatable succinct batch proofs）。在区块链场景中，验证者常常需要针对不断更新的区块流维护证明，传统 Merkle 批量证明在叶子节点变化时需要重新计算，效率低下。Reckle trees 通过一种称为 canonical hashing 的基于哈希的累加器，将批量哈希的计算嵌入到递归 Merkle 验证过程中，使得当任何 Merkle 叶子（无论是否属于批量证明）发生变化时，批量证明可以在对数时间内完成更新，并借助存储先前递归证明的数据结构避免重复计算。此外，在足够并行度的条件下，批量证明的初始计算复杂度为 O(log n) 并行时间，且与批量大小无关。论文还进一步扩展到 Reckle+ trees，用于支持可更新的简洁 Map/Reduce 计算证明：证明者可以承诺一个内存 M，针对 M 的子集 I 生成简洁证明，并在 I 或 M 变化时高效更新证明。该研究为区块链轻节点、跨链桥、状态通道等需要高效证明维护的应用提供了新的密码学原语。

该论文《DEFInit: An Analysis of Exposed Android Init Routines》针对 Android 系统启动过程中的 init 例程（init routines）进行了系统性安全分析。Android 的 init 进程是系统启动的第一个用户空间进程，负责挂载文件系统、启动关键服务、设置系统属性等，其暴露的接口和例程若存在缺陷，可能导致权限提升、系统配置篡改或拒绝服务。论文提出了一种名为 DEFInit 的自动化分析框架，用于识别和检测这些 init 例程中可能存在的安全弱点。核心方法包括静态分析 init 脚本和二进制代码，建立从 init 例程到系统调用的数据流，并结合符号执行或污点分析来追踪攻击者可控的输入，从而定位可能被滥用的路径。实验部分，作者对多个 Android 固件版本（可能涵盖主流厂商的镜像）进行了大规模分析，发现了一批此前未知的可暴露 init 例程，并验证了其中若干例程确实可被恶意应用或本地攻击者触发，造成系统属性覆盖、服务配置劫持等安全后果。论文还讨论了这类问题的根因，如 init 语言解析器的缺陷、对输入验证不足、以及过度暴露的 socket/属性接口等，并给出了加固建议。该研究有助于安全社区深入理解 Android 启动链的信任边界，对固件安全测试和移动端漏洞挖掘具有参考价值。然而，由于目前仅提供论文摘要，具体技术细节和实验数据需要阅读全文进一步确认。

这篇论文针对 Tor 匿名网络性能研究的实验方法论提出批判与改进。以往研究在评估 Tor 性能改进方案时，通常只对标准 Tor 和每个研究变体各运行一次模拟，然后直接根据单次模拟的观测结果下结论。然而，由于模拟是在抽样生成的 Tor 网络中进行的，抽样误差本身就可能导致观测到的效果，因此未考虑统计显著性的结论在实践意义上值得怀疑。作者为此构建了改进 Tor 实验方法的基础。首先，他们提出一种新的 Tor 网络建模方法，能够生成更具代表性的 Tor 网络；同时开发了新的改进型实验工具，使 Tor 模拟运行速度更快、规模更大。作者展示的模拟实验包含 6,489 个中继和 79.2 万同时在线用户，这是目前已知最大规模的 Tor 网络模拟，也是首次达到 100% 网络规模的模拟。其次，他们提出了新的统计方法论，用于：（i）证明必须在独立抽样的多个网络中运行多次模拟，才能获得有信息量的结果；（ii）展示如何利用多次模拟的结果进行可靠的统计推断。论文通过一个包含 420 次模拟的案例研究，演示了如何将新方法应用于具体的 Tor 实验，并分析其结果。该研究对于 Tor 性能改进领域的实证研究具有重要的方法学指导意义，有助于提升 Tor 实验结论的可信度和可复现性。适合 Tor 开发者、匿名通信研究人员以及关注网络实验统计严谨性的安全工程师阅读。

本文提出了一种名为 VulHawk 的跨架构二进制代码搜索方法，用于检测固件中因代码复用而引入的漏洞。随着物联网设备的普及，不同架构、编译器和优化级别生成的固件镜像使得传统二进制比对方法难以适用。VulHawk 首先将二进制代码提升为一种与架构无关的中间表示（microcode），通过补充隐式操作数和修剪冗余指令来保留函数的主要语义；随后利用自然语言处理技术和图卷积网络生成函数嵌入。针对跨文件环境（编译器+架构+优化级别的组合）的相似性计算，作者采用分而治之策略，将 C 对 N 个文件环境的复杂问题分解为 N-1 个嵌入转换子问题，并提出一种基于熵的适配器，将不同文件环境中的函数嵌入转换到同一环境，以缓解环境差异带来的特征偏移。为了精确识别易受攻击的函数，作者还设计了渐进式搜索策略，通过补充细粒度特征来降低已修补函数造成的误报。实验在七种不同任务下评估了 VulHawk 的性能和鲁棒性，结果表明它优于 Asm2Vec、Asteria、BinDiff、GMN、PalmTree、SAFE 和 Trex 等现有方法。该研究适用于固件安全分析、漏洞挖掘和安全研究人员，尤其对物联网设备固件的未知漏洞发现具有参考价值。

该论文研究自动堆利用生成中的一个核心挑战：如何判断并构建可利用的堆布局状态。在通用程序中，堆内存的布局通常由程序的堆操作（如分配、释放、修改）动态决定，而攻击者或自动化工具需要精心编排这些操作，使得堆对象重新排列，从而为后续的漏洞利用创造条件。然而，由于程序逻辑的复杂性和堆分配机制的底层细节（如分配器策略、对象大小、生命周期等），自动且精确地控制堆布局在通用程序上一直是未解决的难题。本文试图提出一种自动化方案，旨在通过分析程序中的堆操作路径，智能地选择并协调一组操作序列，以达成预期的堆布局目标。其核心贡献可能包括：对堆布局操纵问题的形式化建模、一种不依赖具体漏洞类型的通用分析方法、以及面向真实程序（如 glibc 分配器）的可扩展评估。尽管摘要未提供具体技术细节，但该研究对于理解堆利用自动化的可行性具有重要意义，有助于安全社区认识堆布局操纵所需的前置条件与复杂度。适合从事漏洞自动挖掘、利用生成和安全评估的研究人员阅读。

随着加密货币的普及，用户自行管理资产，攻击者不再仅仅将加密货币用作支付手段，而是开始直接窃取用户的加密资产。本文首次对加密货币赠品诈骗进行了大规模分析。赠品诈骗是一种简单但具有欺骗性的骗局，攻击者搭建网页宣传虚假活动，承诺将用户发送到特定钱包地址的资金翻倍或三倍。为了解这些诈骗在真实世界中的规模，作者设计并实现了CryptoScamTracker，该工具利用证书透明日志来识别可能的赠品诈骗网站。通过为期6个月的实验，CryptoScamTracker共识别出10,079个赠品诈骗网站，这些网站针对所有主流加密货币的用户。除了分析赠品诈骗者的托管和域名偏好外，作者还利用被滥用加密货币的公开区块链，对被盗资金进行了首次定量分析，提取了属于诈骗者的2,266个钱包对应的交易。研究发现，仅在本报告期内发现的诈骗中，攻击者就窃取了相当于数千万美元的资金，并在不同加密货币间组织了大规模活动。最后，作者发现攻击者通过提供资金恢复服务来试图再次伤害受害者，且一些受害者多次向同一诈骗者发送资金。该研究为理解赠品诈骗的运作模式、规模及资金流向提供了全面视角，并为检测和防御此类诈骗提供了数据支持。

该论文针对密码学软件中的瞬态执行攻击（尤其是Spectre v1）提出了一种基于类型系统的方法，以确保推测性常数时间（Speculative Constant-Time），从而在保持高性能的同时为密码实现提供形式化保证。当前密码库的黄金标准是在高效实现的同时系统性地防御计时攻击，通常借助高保证密码学工具（如Jasmin框架）进行形式化验证。然而，现有工具基于过于简化的执行模型，忽略了瞬态执行产生的微架构泄漏，导致经过验证的实现仍可能受到Spectre等攻击。已有的防御措施往往因性能开销过大而未被实际采用。作者提出了一种值依赖的信息流类型系统，根据执行是否处于错误推测状态动态跟踪安全级别，从而强制实现推测性常数时间属性。该类型系统被集成到Jasmin框架中，并用于保护一个实验密码学库的全部实现，涵盖对称原语、椭圆曲线密码（如X25519）以及Kyber（NIST选定的后量子KEM）。实验结果表明，性能开销极低：Kyber的开销小于1%，X25519几乎为零。这项工作证明了形式化方法可以在不显著牺牲性能的前提下有效缓解瞬态执行攻击。论文的主要贡献包括：提出推测性常数时间的正式定义、设计并实现相应的类型系统、将其集成到Jasmin框架，并通过实际密码库验证其实用性。适合密码学库开发者、系统安全研究员以及形式化验证社区阅读。

本文聚焦端到端加密（E2EE）环境下内容审核与隐私保护之间的根本矛盾。E2EE 阻止在线服务访问用户内容，这虽然保障了隐私，却使得传统的服务端明文图像感知哈希匹配（用于检测儿童性虐待材料 CSAM）无法实施。为此，密码学界提出了私有哈希匹配（PHM）方案，允许服务在不知道哈希集合具体内容的情况下匹配已知的 CSAM 图像，同时不向用户泄露哈希集，也不向服务泄露非匹配内容。然而，以 2021 年苹果 iCloud 照片中的 CSAM 检测提案为代表的 PHM 设计，引发了关于安全、隐私和言论自由的广泛批评。本文旨在通过提出新的密码学方法，实现由普通公众对 PHM 系统进行公共验证，从而推进相关学术研究与讨论。作者首先阐述了使用 PHM 检测 CSAM 的动机，以及部署中面临的重大社会与技术问题。他们将 PHM 的批评系统化为两类审计问题：对哈希集的信任和对实现的信任。论文指出，虽然仅靠技术无法完全解决这两个问题，但存在密码学上的信任提升可能。核心贡献是提出了三类新颖的密码学协议，支持对 PHM 系统进行公共验证：（1）证明外部组织批准了哈希集；（2）证明特定的合法内容不在哈希集中；（3）在发生误报匹配时最终通知用户。这些协议被描述为实用、高效，并兼容现有的 PHM 构造。读者包括密码学研究者、隐私倡导者、政策制定者以及负责内容审核平台的安全工程师。

本文提出 S-BDT，一种新颖的 (ε, δ)-差分隐私分布式梯度提升决策树（GBDT）学习器。研究核心问题是在分布式机器学习环境中，如何在不牺牲模型效用（如准确率或回归误差）的前提下，增强对单个训练数据点的隐私保护。传统差分隐私方法通常通过添加噪声来扰乱模型，但噪声过大会影响模型性能。S-BDT 的主要创新在于使用非球形多元高斯噪声而非各向同性噪声，从而在相同隐私预算下减少所需噪声量。作者推导了该噪声分布下紧密的采样下界，用于隐私放大分析，并将其整合进 Rényi 差分隐私滤波器，实现个体级别的隐私核算，使得隐私预算的分配更加精细。实验在多个基准数据集上验证了方法的有效性：在 Abalone 回归数据集（约4千样本）上，当 ε ≤ 0.5 时，达到相同效用的同时节省 50% 的 epsilon；在 Adult 分类数据集（约5万样本）上，当 ε ≤ 0.08 时节省 30% epsilon；在 Spambase 分类数据集（约5千样本）上，当 ε ≤ 0.03 时节省 30% epsilon。此外，论文还考虑了数据流来自不同子群体（非独立同分布）的场景，显示 S-BDT 能进一步增加 epsilon 的节省。这项工作的贡献包括：提出新的噪声机制，改进隐私核算方法，并在多种数据集和设置中证明其优势，为差分隐私机器学习提供了更高效的解决方案。

本文研究大规模应用中的高效秘密共享方案。秘密共享是一种基础密码学原语，允许将消息分配给 n 个参与方，使得任意少于 t 个参与方的子集无法获知消息，而任意至少 t 个参与方的子集可以恢复消息。尽管该原语应用广泛，但现有方案在隐私阈值 t 较大时，消息重建算法的计算开销很高，成为实际部署的严重瓶颈。论文针对这一缺陷，提出新的秘密共享方法，旨在降低重建阶段的计算复杂度，使其适用于大规模、高阈值场景。由于仅提供摘要，具体技术细节（如基于的数学假设、具体算法设计、复杂度分析、实验对比）尚未披露，但核心贡献指向解决大规模应用中秘密共享重建效率低下的问题。适合对密码学、安全多方计算、分布式系统感兴趣的 researchers 和安全工程师阅读。

本文面向可信执行环境（TEE）中飞地程序的安全性问题，特别是状态连续性（State Continuity）的验证，提出了一种形式化验证方法。状态连续性指飞地程序在执行过程中，即使遭遇异常中断、迁移或恶意系统软件干扰，其内部状态仍能保持一致和完整。作者基于程序逻辑和定理证明技术，构建了状态连续性的形式化模型，定义了验证规则，并可能使用了自动化工具进行验证。该研究有助于从数学上保证飞地程序的状态安全，防止回滚、重放等攻击。论文的主要贡献包括状态连续性属性的精确刻画、验证框架的设计与实现，以及基于典型飞地应用的案例研究。这项工作对TEE安全研究者和开发可信应用的安全工程师具有重要参考价值。

无人机开源飞控 PX4-Autopilot堆栈溢出漏洞 CVE-2025-15150

MongoDB内存泄漏 CVE-2025-14847(MongoBleed)

1Panel 代理证书验证绕过导致任意命令执行漏洞(CVE-2025-54424)

ModelContext Inspector 未授权访问漏洞(CVE-2025-49596)

llamaindex SQL 注入漏洞(CVE-2025-1750)

Screen 本地权限提升漏洞(CVE-2025-23395)

Zabbix认证后SQL注入漏洞(CVE-2024-42327)

ProjectSend认证绕过漏洞(CVE-2024-11680)

PyTorch库RPC框架反序列化RCE漏洞(CVE-2024-48063)

Grafana认证后DuckDB-SQL注入漏洞(CVE-2024-9264)

SPIP BigUp Unauthenticated RCE(CVE-2024-8517)

Rejetto HFS 远程命令执行漏洞(CVE-2024-39943)

Apache HugeGraph-Server Command Execution In Gremlin（CVE-2024-27348）

Zabbix 后台延时注入(CVE-2024-22120)

CrushFTP 认证绕过漏洞（CVE-2024-4040）

Alert for CVE-2026-21992

Alert for CVE-2025-61884

Alert for CVE-2025-61882

Alert for CVE-2024-21287

Alert for CVE-2022-21500

Alert for CVE-2021-44228

Linux 内核提权 CVE-2026-31431(copy-fail)

Alert for CVE-2026-35273

本研究针对SQL注入（SQLi）检测这一Web应用安全中的关键挑战，进行了系统的文献综述以识别研究空白，并据此设计并优化了一个基于DistilBERT的堆叠集成检测管道。该管道首先对数据进行全面的预处理与分词，提取DistilBERT嵌入，然后训练多种机器学习与集成分类器，并在准确率、精确率、召回率和F1分数上进行比较排序。最终选出表现最好的三个模型（逻辑回归、XGBoost和SVM），通过一个神经元元学习器组合成堆叠集成。为了提升鲁棒性，研究者使用快速梯度符号法（FGSM）生成对抗样本对集成模型进行加固，并利用Optuna进行超参数调优。优化后的集成模型在所有报告指标上达到了99.81%的准确率，与最强的单模型（DistilBERT-SVM，99.82%）几乎持平，但在评测平台上，集成模型对完整测试集的分类耗时仅0.0136秒，而DistilBERT-SVM需1.896秒，推理延迟降低了约140倍，同时仍能在单步FGSM攻击下保持99.77%的准确率。研究的主要贡献在于设计和验证了一个以实时速度实现最先进准确率，并对单步FGSM攻击展现出鲁棒性的SQLi检测器，而非仅关注微小的准确率提升。敏感性分析进一步确认了模型的稳定性。这些发现凸显了对抗训练和堆叠元学习在构建稳健的Web应用防火墙（WAF）用于SQLi检测中的价值。为促进开放性验证，数据集、测试集和模型已在GitHub上公开。

该论文重新思考了多服务器、图复制私有信息检索（PIR）系统中的隐私定义，提出了一种新颖的设置：用户隐私由服务器的存储结构决定。在经典图复制PIR中，用户从服务器检索单条消息，同时向每台服务器隐藏消息索引。而在本文提出的隐私设置中，用户仅对存储了所检索消息的特定服务器隐藏消息索引，对于不存储该消息的服务器则不施加隐私要求。作者将这种放宽的隐私需求称为“本地用户隐私”，并将相应的PIR问题称为“图上的本地PIR”。研究聚焦于双复制PIR系统，即每条消息被复制两次并存储在两个不同的服务器上。具体而言，他们研究了存储由简单图（每对顶点至多关联一条边）及其多重图扩展（每条边替换为r条平行边）表示的本地PIR系统。对于这些设置，他们界定了本地PIR容量，即每个下载符号可检索的消息符号的最大数量。结果表明，与相同存储结构下的经典PIR容量相比，本地隐私要求能带来显著的容量增益。例如，当图是多个相同子图的不相交并集时，本地PIR容量相对经典PIR容量的增益是子图数量的倍数。此外，对于连通图，他们推导了边传递图和二分图的容量下界，这些下界优于已知的最佳PIR容量界。通过建立匹配的上界，他们精确刻画了星图、循环图以及具有奇数顶点的路径图的容量。最后，他们为一般图引入了两种本地PIR方案。该研究为隐私与存储结构之间的关系提供了新的理论视角，对分布式存储、私有信息检索协议设计有重要参考价值。适合对信息论、密码学、分布式系统及隐私保护感兴趣的研究人员阅读。

零知识证明（ZKP）系统在区块链、隐私计算和可验证外包等场景中应用广泛，而零知识领域特定语言（ZK DSL）工具链（如 Circom、Noir 等）将开发人员编写的高级电路程序编译为约束系统，并生成用于证明的见证（witness）。工具链的编译或运行时缺陷可能导致生成的约束弱于源程序语义，使得攻击者能够为无效执行构造有效证明，此类“健全性”漏洞极具破坏性。然而，由于所有合法执行仍然可以正确生成见证，这些漏洞在常规基于有效输入的测试中往往不会被发现。针对这一问题，本文提出了 Liezz——一个旨在大规模发现 ZK DSL 工具链健全性缺陷的自动化测试框架。其核心思想是“对抗性见证注入”：对于每个生成的小型确定性程序，Liezz 选取两组不同的公共输入，使得程序产生不同的输出；然后构造一个新见证，将其中一次执行的输入与另一次执行的输出拼接在一起。这种见证在语义上是无效的，正确编译的工具链在生成和验证过程中必然拒绝；如果工具链反而接受该见证并成功证明，则说明约束系统缺失了必要的约束条件。为了减少随机噪声、提高命中概率，Liezz 实现了多种见证拼接策略，例如“受控发散”以保证程序状态在拼接后仍尽可能一致，从而更容易逼出缺失的约束。此外，Liezz 还支持生成带参数的标准库函数调用，借此触及仅通过标准库组合才能到达的复杂逻辑。论文实现了对 Circom、Corset、Gnark、Noir 四种主流 ZK 工具链的支持，并在大规模实验中发现了 13 个真实缺陷，其中 7 个具有直接的健全性影响（可导致无效证明被验证通过）。值得注意的是，部分缺陷在仅使用手写或简单程序时无法触发，只有通过生成的参数化标准库调用才能暴露。在相同的测试预算下，基于有效执行的传统测试基线没有发现任何由注入见证揭示的健全性失败，而 Liezz 则成功触发了这些失败，充分说明了对抗性见证注入在挖掘 ZK 工具链深层缺陷方面的独特优势。

本文针对生成式 AI 代理在金融场景中自主执行交易时存在的权限失控风险，提出并系统评估了“推理-权限分离”（Authority-Inference Separation, AIS）架构。核心问题在于：AI 代理能够选择工具、交易对手和交易参数，但其推理能力本身不应直接赋予其执行金融操作的权限。AIS 将金融行为意图作为控制对象，要求机器生成的交易提案必须经过一个独立的确定性控制平面验证，该平面校验已注册的代理身份、可问责的所有权、授权与风险偏好谱系、策略版本、状态、审批以及精确的经济语义，之后才能获得临时可执行权限。区块链层负责强制执行已授予权限的操作表示，并记录可移植的结算证据；而机构合法性、服务交付、会计分类和人类问责则保持为链下义务。实验部分结合了四领域实例化、BIS 和 MAS 官方案例、含 48 个测试夹具的可执行原型以及公共账本可观测性测试。在 36 个合成授权攻击中，直接代理基线接受了全部 36 个攻击效果，提示策略基线接受了 20 个，而 AIS 全部拒绝；三者在 8 个合法夹具上均全部通过。AIS 还拒绝了 4 个代币重放和 8 个收款方/轨道替换，在 4 个服务交付失败中阻止了完成，并填充了全部 13 个证据字段。对 1700 笔与公共 x402 促进者地址相关的 Base 链上交易的分析表明，公共账本可以证明结算和部分授权参数，但无法确立机构授权、法律问责、服务交付或会计处理。因此，AIS 与区块链互补：AIS 决定特定意图是否可以行动，而区块链使被授予的权限有界、可执行且可独立观察。本文适合关注 LLM 代理安全、金融风控与可信 AI 基础设施的研究者和工程人员阅读。

差分隐私已成为生成隐私受保护数据发布的标准框架，但其隐私损失并不直观对应披露风险。具体而言，一个对手在观察到受保护发布结果后，对某个个体是否被纳入数据集的信念（后验概率）相比先验概率的变化幅度，尚缺乏精确刻画。本文在“有界”概率差分隐私和近似差分隐私的设定下，推导了包含信念（inclusion belief）的后验-先验比率的上界和下界。为得到适用于任何对手的普适性界限，作者假设了一个“最坏情况”对手，即该对手掌握了数据集中除一个参与者以外的所有辅助信息。这样的界限在理论上具有普遍约束力，但可能以非零概率失效。为此，论文专门研究了高斯机制下界限失效的概率，推导出其理论上限，并与蒙特卡洛模拟估计的失败率进行对比。实验覆盖了广泛的参数设置，结果显示实际观测到的失败率比理论上限小数个数量级，表明理论上限非常保守。这一发现意味着，差分隐私机制在实际中提供的推理隐私保证可能远强于理论上界所暗示的水平，为隐私风险审计和机制设计提供了更乐观的理论基础。论文属理论性研究，适合隐私工程、统计与安全交叉领域的研究人员阅读，但未涉及具体攻击或防御实现。

本文提出并实现了一个面向多智能体 AI 平台的零知识谓词证明网关（Zero-Knowledge Proof Gateway），旨在解决智能体之间信任建立机制过于粗糙的问题。当前智能体间交互要么直接传输原始数据导致过度共享，要么依赖自然语言自报合规性，这种自报无法验证且正是提示注入攻击的通道。现有对策侧重于身份、可见性和事后检测，而最近的密码学强制策略提案仅停留在模拟评估。作者将该方案从提案推进到可运行系统：智能体间交换基于治理定义谓词的零知识证明，而非数据本身，从而在设计上防止数据暴露，而非事后检测。由于现有互操作协议无法承载此类证明，作者设计了一个槽位，并在 MCP 和 Agent2Agent 两种协议上从单一端点实现了该方案。实验表明，一个 32 位阈值谓词在单台商用 vCPU 上证明耗时 6.2 毫秒，验证耗时 1.0 毫秒，证明大小为 608 字节（Bulletproofs）；通过了 11 项对抗性实验和 19 项协议检查；系统已部署到 Kubernetes 并验证了网络隔离。案例研究证明零售客户订单金额在限额内且不泄露具体数额，实例化了 GDPR 数据最小化原则，成为欧盟法律明确指明的强制性技术措施。作者进一步解决了目前同类工作未解决的局限：谓词证明将语句绑定到承诺值，但从不绑定到记录系统。他们给出了一种构造，将 enclave 认证与证明双向融合，使验证一个工件即可同时证明谓词成立且值由特定测量二进制读取，并针对模拟权威机构进行了测试。该论文适合研究智能体安全、密码学应用、零知识证明以及 AI 系统信任机制的研究人员和安全工程师阅读。

Python 应用程序在机器学习、科学计算等领域广泛使用，这些应用常集成基于 C 等低级语言编写的原生代码组件，以提升性能或实现互操作性。然而，原生代码中的 bug 往往隐蔽且难以发现，构成对整体质量的重大挑战。尽管已有相关研究，但对 Python 应用中原生代码 bug 的系统性理解仍然不足。本文首次对此类 bug 进行了深入的大规模研究：基于 GitHub 上真实 Python 项目的 216 个原生代码 bug，通过自动化与人工分析相结合的方式，剖析了这些 bug 的常见症状、出现位置、表现形式、根本原因及修复策略。研究发现，原生代码 bug 在引入方式、触发条件和影响范围上具有独特特征，其修复往往涉及 Python 与 C 之间的边界处理。通过与已知缺陷模式对比，作者提出了关于原生代码 bug 发生机制的新见解，并为开发者提供了针对性的诊断与解决方案。本研究的贡献在于为 Python 生态中的原生代码质量保障提供了实证依据，填补了该领域的研究空白，对使用 C 扩展的 Python 项目开发者、维护者以及安全分析师具有直接参考价值。

本论文提出了一种面向虚拟现实（VR）环境的基于自适应方向的身份认证方法（Adaptive Direction-Based Authentication, ADBA），旨在平衡密码的可记忆性与输入效率之间的权衡。传统的VR认证常采用6位数字PIN，但用户往往面临记忆负担与输入效率的矛盾。ADBA的设计核心在于将密码创建与认证过程在时间上解耦：创建阶段强制要求用户基于虚拟环境中的上下文（如物体的方向、位置等）设置密码，而认证阶段则允许用户选择基于上下文或基于数字两种方式输入。这种设计既保证了新密码的高可记忆性，又为用户在不同使用阶段（如初期记忆模糊或后期熟练操作）提供灵活且高效的输入选项。作者开展了一项远程纵向研究，共66名参与者，在2-3周内对比ADBA与6位PIN码的表现。实验结果显示，ADBA在密码记忆保持方面显著优于PIN，且用户感知的任务负荷更低。值得注意的是，所有参与者在实际认证过程中均未选择数字输入方式，但即便如此，他们仍认为ADBA具有很高的效率，尽管客观上的输入时间比PIN更长。在安全性方面，ADBA通过随机生成数字表示带来了额外优势，但在某些特定虚拟环境中存在一定程度的密码同质化问题（即用户倾向于选择类似的方向组合）。总体而言，ADBA在研究的应用场景下相比传统PIN具有明显优势，并成功处理了效率、可记忆性与安全性之间的权衡。本文适合VR安全、人机交互与认证机制设计的研究人员以及VR应用开发者阅读。

时空图（Spatio-Temporal Graphs）广泛用于建模复杂动态过程，如时间序列预测、分子动力学和医疗健康监控。随着 GDPR、CCPA 等隐私法规的出台，模型需要支持对未经授权数据的“遗忘”（unlearning），即从已训练模型中移除特定节点的影响。然而，时空图中每个节点都会在空间和时间维度上进行全局信息扩散，现有主要针对静态图设计的 unlearning 方法无法高效地擦除单个节点，其代价几乎等同于全模型重训练。针对这一问题，本文提出 CallosumNet——一种受生物胼胝体结构启发的时空图遗忘框架。CallosumNet 包含两项关键技术贡献：(1) 利用生物启发的虚拟边对子图进行重建；(2) 通过一个轻量级元图集成层恢复子图间相互关联的时空依赖。在四个多样化的真实世界数据集上的实验结果表明，CallosumNet 实现了完整的遗忘效果，同时保持了与金标准模型非常接近的准确率。代码已公开。该研究为隐私法规下的时空图模型更新提供了高效解决方案，适合关注模型可解释性、数据隐私和高效学习的机器学习研究者阅读。

该研究针对 Web 应用安全中检测复杂 SQL 注入（SQLi）攻击这一关键难题，提出了一种基于 BERT 与图神经网络（GNN）的混合检测模型，并针对 Web 应用防火墙（WAF）场景进行优化。方法上，先将 SQL 查询进行分词处理，通过 BERT 编码为上下文相关的向量表示，再将每个查询构造为图结构，用这些上下文嵌入初始化图中节点的特征，随后使用 GNN 对图进行分类，以判断查询是否为恶意 SQLi。模型超参数由 Optuna 自动调优，优化目标涵盖准确率、精确率、召回率和 F1 分数。实验结果显示，该模型在攻击类上达到 99.67% 的准确率、99.71% 的精确率、99.39% 的召回率和 99.55% 的 F1 分数。进一步通过对图输入进行扰动操作进行敏感性分析，得到平均敏感度分数为 0.0037，表明模型在扰动下预测结果稳定，说明其具有较好的鲁棒性。研究结果表明，将 BERT 的上下文语义理解能力与 GNN 的结构建模能力结合，能够有效提升对复杂 SQLi 攻击变体的检测效果，同时有助于降低误报率和漏报率。为便于验证，作者公开了数据集、测试集和模型实现。该工作对于 WAF 安全检测、Web 攻击识别以及基于深度学习的入侵检测系统研究具有参考价值。适合 Web 安全工程师、WAF 开发人员、以及从事基于机器学习的安全检测研究人员阅读。

本文针对央行数字货币（CBDC）银行间结算系统在分布式账本技术（DLT）上运行时所面临的根本性权衡：区块链透明性虽能实现无需信任的验证，却会将商业敏感的双方交易流暴露给所有网络参与者。为化解这一矛盾，作者提出了一种面向许可型以太坊兼容网络的机密银行间结算协议，采用一种宽松的发送方匿名模型，以适配监管机构的反洗钱/反恐融资（AML/CFT）要求。在该模型下，发起机构仍可在链上公开标识以支持问责与合规，而接收机构、转账金额及业务载荷则通过密码学手段隐藏。协议在Hyperledger Besu上基于QBFT共识实现，结合了BN254曲线上的Groth16零知识证明、增量Merkle树中的Poseidon哈希承诺、多接收者ECIES载荷加密，以及一个链上NoteRegistry合约——该合约将加密票据以仅追加账本日志的形式存储，从而免除了对可信链下托管服务器的依赖。协议支持shield、confidential transfer和unshield三种状态转换。实验在五节点网络（三家商业银行、一家央行运营方、一家证券存管机构）中进行，结果表明端到端结算耗时8–16秒，通过EVM预编译实现的证明验证开销约1毫秒（约22万gas），客户端在商用ARM硬件上生成证明需4–12秒。尽管接收方机密性已在协议层面确立，当前概念验证版的NoteRegistry使用了按所有者索引的事件，这一折衷可通过生产环境中的统一事件广播加以解决。该研究主要面向CBDC系统设计者、区块链底层开发者及关注隐私保护的监管科技研究人员。

该论文提出一个名为 DisCTI 的自动化网络威胁情报（CTI）分发系统，旨在解决当前 CTI 分发中缺乏行业感知（sector-aware）和及时性的问题。研究背景是：尽管 MISP 等平台提供了行业标签功能（如能源、金融、政府），但实际中 98% 的 CTI 事件未被分类，导致安全分析师难以从海量异构威胁信息中快速筛选出与自身行业相关的威胁，尤其使关键信息基础设施部门面临更高风险。作者将问题形式化为多标签分类任务：给定一个 CTI 事件，预测其可能影响的目标行业。他们利用对 CTI 结构和行业特定威胁模式的深入领域知识，从一个威胁情报平台（TIP）构建了一个包含 872 条标注了行业标签的 CTI 事件的数据集，并采用基于 Transformer 的 BERT 模型来自动学习事件文本与行业标签之间的映射。为了增强跨平台互操作性，模型输入使用 STIX 结构化威胁信息表达格式。实验结果显示，该模型在自定义数据集上取得了宏平均 F1 分数 0.89，Hamming 损失仅为 0.055，意味着 94.5% 的单个行业标签分配是正确的。研究证明了利用领域知识设计机器学习模型可以显著提升 CTI 分发的自动化和行业针对性，弥补了传统威胁情报流水线中的关键缺口，有助于组织更快地采取与自身行业相关的防御行动。适合威胁情报平台开发者、安全运营中心（SOC）分析师、以及研究 NLP 在网络安全中应用的人员阅读。

Xibo is an open source digital signage platform with a web content management system and Windows display player software. Prior to 4.4.3, missing Authorization in Module::settingsForm allows to view (not change) super admin-restricted module settings and leak the full module entity. Exploitation of the vulnerability is possible on behalf of an authorized user who has access to the Module View feat

oasdiff-action is a GitHub Action that detects breaking changes in OpenAPI specs and post a review on every pull request. Before version 0.0.51, the oasdiff actions resolved external $refs in the OpenAPI spec by default (allow-external-refs: true). When an action runs on a pull request whose spec is attacker-controlled — most importantly fork pull requests on public repositories — a $ref in that s

When Ethernet bridging is enabled (CONFIG_NET_ETHERNET_BRIDGE), eth_bridge_input_process() in subsys/net/l2/ethernet/bridge/bridge_input.c decides how each frame received on a bridge member interface is handled. For frames that must also be delivered to the local stack, the code called eth_bridge_handle_locally() and returned NET_OK. That helper does not consume the packet — it only calls bridge_i

oasdiff is a command-line and Go package that compares and detects breaking changes in OpenAPI specs. From version 1.13.2 through version 1.18.0, oasdiff did not enforce --allow-external-refs=false (library: openapi3.Loader.IsExternalRefsAllowed = false) when loading a spec from a git revision (the rev:path form, e.g. main:openapi.yaml). External $refs were resolved on that load path even when ext

Goploy is an open-source automation deployment system. Prior to version 1.18.0, a severe path traversal vulnerability exists in its backend API endpoints, specifically /deploy/fileDiff (File Compare), when handling file paths provided by the client. This issue has been patched in version 1.18.0.

Goploy is an open-source automation deployment system. In versions 1.17.5 and prior, Project.AddFile, Project.EditFile, Project.RemoveFile, and Project.Edit in cmd/server/api/project/handler.go accept a project or project-file row id from the JSON body and act on it without checking that the project belongs to the caller's namespace. The corresponding model.ProjectFile.GetData and model.Project.Ge

The LwM2M JSON content formatter's get_string() in subsys/net/lib/lwm2m/lwm2m_rw_json.c copies a parsed JSON string into a caller-supplied buffer and NUL-terminates it. The length guard used if (string_length > buflen), which accepts a string whose length is exactly buflen. After memcpy() fills the whole buffer, buf[string_length] = '\0' then writes one byte past the end of the buffer (CWE-787).

The I3C IBI subsystem in drivers/i3c/i3c_ibi_workq.c hands out statically-allocated work nodes through a free-list i3c_ibi_work_nodes_free implemented as a plain sys_slist_t, which provides no synchronization. The allocation helpers (i3c_ibi_work_enqueue, i3c_ibi_work_enqueue_target_irq, i3c_ibi_work_enqueue_hotjoin, i3c_ibi_work_enqueue_controller_request, i3c_ibi_work_enqueue_cb) called sys_slis

MCPHub is a unified hub for centrally managing and dynamically orchestrating multiple MCP servers/APIs into separate endpoints with flexible routing strategies. Prior to version 0.12.13, MCPB File Upload Handler extracts a ZIP file and reads manifest.json from it. The name field in the manifest is directly concatenated into a file path (line 107) without any sanitization or path traversal characte

MCPHub is a unified hub for centrally managing and dynamically orchestrating multiple MCP servers/APIs into separate endpoints with flexible routing strategies. Prior to version 1.0.29, MCPHub's PUT /api/system-config endpoint (handler updateSystemConfig) performs no authorization check. It is protected only by the app-wide authentication middleware and a rate limiter — it never inspects req.user.

MCPHub is a unified hub for centrally managing and dynamically orchestrating multiple MCP servers/APIs into separate endpoints with flexible routing strategies. Prior to version 1.0.31, when a bearer key with accessType: 'servers' (or 'custom') is used against a group route, isBearerKeyAllowedForRequest grants access to the entire group as long as any single server in that group appears in the key

MCPHub is a unified hub for centrally managing and dynamically orchestrating multiple MCP servers/APIs into separate endpoints with flexible routing strategies. Prior to version 1.0.32, an authenticated non-admin user can register a server pointing at an arbitrary URL and make the hub issue server-side requests to it, with no egress filtering (no block of loopback / RFC1918 / link-local 169.254.0.

MCPHub is a unified hub for centrally managing and dynamically orchestrating multiple MCP servers/APIs into separate endpoints with flexible routing strategies. Prior to version 0.12.15, the POST /api/servers and PUT /api/servers/:name endpoints in MCPHub create/update MCP server configurations and then immediately spawn the configured stdio process via child_process.spawn. Authentication is requi

MCPHub is a unified hub for centrally managing and dynamically orchestrating multiple MCP servers/APIs into separate endpoints with flexible routing strategies. Prior to version 1.0.32, MCPHub's SSRF guard in src/utils/ssrf.ts uses a custom isBlockedIpv6 function that only checks for loopback, link-local, unique-local, IPv4-mapped, and IPv4-compatible IPv6 addresses. IPv6 transition address famili

URI versions before 5.36 for Perl encode non-NFC host names to non-standard punycode labels via missing normalization in nameprep. nameprep lowercases each host label but performs no Unicode normalization. IDNA requires a label to be normalized to Form C before it is encoded (RFC 5891), so a label that is not already in NFC is encoded to a different A-label than its normalized form. A label built

The Silicon Labs SiWx917 WiFi driver's transmit callback siwx91x_send() in drivers/wifi/siwx91x/siwx91x_wifi.c frees a network packet it does not own. In the Zephyr TX path the net_pkt is owned by the L2/networking stack; the driver only borrows it to copy the frame bytes into a local net_buf. Before the fix, after transmitting, siwx91x_send() additionally called net_pkt_unref(pkt) on the caller-o

YaCy Search Server through 1.941 contains an XML external entity injection vulnerability in SVG, FreeMind, and OpenSearch parsers that fail to disable external entity resolution. Attackers can publish malicious documents with DOCTYPE declarations containing SYSTEM entities pointing to local files, causing the crawler to exfiltrate file contents into the searchable index.

DataEase before 2.10.26 contains multiple access control defects in the sharing link module. Tickets are not bound to the target share UUID, so a valid ticket issued for one share can be reused against another (ShareTicketManage.validateTicket / POST /de2api/share/proxyInfo). The POST /de2api/share/validate endpoint issues a LinkToken after password verification without requiring a ticket, bypassi

DataEase versions before 2.10.26 omit object-level authorization checks on geographic information, dashboard linkage, and chart detail REST endpoints, allowing authenticated users to access resources belonging to other users. Attackers can overwrite or delete map geometry, modify dashboard linkages, and retrieve chart metadata and configuration for resources they do not own by supplying arbitrary

ILIAS versions before 9.22, 10.0 through 10.9, and 11.0 through 11.2 contain an arbitrary file read vulnerability in the SOAP addFile method that allows authenticated users to read server files by supplying crafted XML with COPY-mode imports. Attackers can construct absolute file paths through an unsandboxed import directory and retrieve sensitive files including configuration files containing dat

A security flaw has been discovered in diem-project diem up to 5.1.3. The impacted element is an unknown function of the file dmFrontPlugin/lib/dmWidget/media/dmWidgetContentBaseMediaForm.php of the component Widget Editor. Performing a manipulation results in unrestricted upload. The attack may be initiated remotely. The exploit has been released to the public and may be used for attacks. The pro

A vulnerability was identified in diem-project diem up to 5.1.3. The affected element is the function executeCommand of the file dmAdminPlugin/modules/dmConsole/actions/actions.class.php of the component Administrative Console. Such manipulation of the argument dm_command leads to os command injection. The attack can be launched remotely. The exploit is publicly available and might be used. The pr

A vulnerability was determined in valkey-io valkey 9.1.0. Impacted is the function moduleTimerHandler of the file src/module.c of the component Module Timer Subsystem. This manipulation causes double free. The attack can be initiated remotely. The exploit has been publicly disclosed and may be utilized. Patch name: b349fe2821e3998534b1454c1b64a478daf8c6b7. To fix this issue, it is recommended to d

A vulnerability was detected in klaussilveira GitList 2.0.0. Affected by this issue is the function SimpleXMLElement of the file src/SCM/System/Git/CommandLine.php of the component XML Parsing. Performing a manipulation results in denial of service. The attack is possible to be carried out remotely. The exploit is now public and may be used. Upgrading to version 3.0.0-beta can resolve this issue.

A security vulnerability has been detected in klaussilveira GitList 2.0.0. Affected by this vulnerability is the function getDefaultBranch of the file src/SCM/System/Git/CommandLine.php of the component Git Command Line. Such manipulation leads to os command injection. The attack can be executed remotely. The exploit has been disclosed publicly and may be used. Upgrading to version 3.0.0-beta addr

@pdfme/common before 5.5.10 contains a server-side request forgery vulnerability in the getB64BasePdf function that fetches arbitrary URLs without validation when basePdf is attacker-controlled. Attackers who control the basePdf template field can force servers or clients to make requests to internal endpoints, enabling metadata exfiltration, network reconnaissance, and blind request forgery attac

pdfme schemas before 5.5.10 contains a cross-site scripting vulnerability in the multiVariableText property panel that assigns unsanitized i18n label values to innerHTML. Attackers who control label overrides through options.labels can inject arbitrary JavaScript that executes when users open the Designer and select a multiVariableText field without variable placeholders.

Hulumi versions before v1.3.2 resolve the threat-model helper script from an unsafe root, allowing workspace files to shadow the intended helper script. Attackers can place malicious files in the workspace to execute arbitrary code during local skill execution.

@hulumi/policies versions before 1.3.2 contain a parent spoof bypass vulnerability that allows attackers to submit spoofed SecureBucket parent evidence during policy evaluation. Attackers can bypass security policy checks by providing falsified evidence, causing the validator to miss unsafe bucket configurations.

@hulumi/policies versions before 1.3.2 fail to fully inspect inline and attached IAM policy evidence for the administrator-policy guardrail. Attackers can craft admin-equivalent policy paths that bypass policy evaluation controls.

hulumi versions before v1.3.2 contain a deployment SCP template that allows tag-on-create bypasses for hulumi:iac-role protections. Attackers can bypass intended IAM boundary restrictions by exploiting the weakened SCP template in downstream deployments.

@hulumi/drift versions before 1.3.2 accept externally supplied execute plans without sufficient provenance validation, allowing untrusted reconciliation input to be treated as trusted. Attackers can supply malicious execute plans that bypass security checks to perform unsafe reconciliation operations.

hulumi versions before v1.3.2 contain a privilege escalation vulnerability in the weekly integration IAM policy that allows role lifecycle operations on af-e2e-* roles without sufficient boundary restrictions. Attackers with the documented principal can create persistent higher-privilege roles in the sandbox account.

@hulumi/policies versions before 1.3.2 fail to properly validate set-qualified AWS IAM condition operators in GitHub OIDC trust policies. Attackers can use ForAnyValue:StringLike operators to hide wildcard GitHub Actions OIDC subject conditions from security guardrails.

Nodemailer before 8.0.4 is vulnerable to SMTP command injection through the unsanitized envelope.size parameter. When an application passes a custom envelope object with a size property containing CRLF characters to sendMail(), the value is concatenated into the SMTP MAIL FROM command (as SIZE=...) without sanitization, allowing injection of arbitrary SMTP commands such as RCPT TO to silently add

Nodemailer versions before 8.0.5 contain an SMTP command injection vulnerability in the transport name option used in EHLO/HELO commands. The name parameter is concatenated directly into SMTP commands without sanitizing carriage return and line feed characters, allowing attackers to inject arbitrary SMTP commands for email spoofing and phishing attacks.

Nodemailer before 8.0.8 disables TLS certificate verification in lib/fetch/index.js through rejectUnauthorized: false, allowing attackers to intercept OAuth2 token requests. Attackers in a machine-in-the-middle position can capture OAuth client secrets, refresh tokens, and access tokens transmitted over compromised HTTPS connections.

Nodemailer before 8.0.9 fails to sanitize carriage return and line feed characters in list comment fields, allowing attackers to inject arbitrary message headers. An attacker with control over list.*.comment parameters can inject CRLF sequences to create additional headers in generated RFC822 messages, altering mail client behavior and message semantics.

Nodemailer before 8.0.9 fails to enforce disableFileAccess and disableUrlAccess options during message normalization in jsonTransport. Attackers can read local files or fetch URLs by supplying path or href values in message content fields, bypassing intended access controls.

nodemailer before 9.0.1 fails to apply disableFileAccess and disableUrlAccess flags to message-level raw option, allowing authenticated attackers to read arbitrary files or perform server-side request forgery by supplying path or href properties. Attackers can exploit this by crafting raw messages with file paths or URLs that bypass the intended sandbox, with fetched content delivered in the outgo

nodemailer before 6.9.9 contains a regular expression denial of service vulnerability in email parsing when attachDataUrls parameter is set or processing embedded file attachments. Attackers can send specially crafted emails with malicious data URLs or embedded attachments to cause the event loop to hang and deny service.

A vulnerability was identified in PowerJob up to 5.1.2. Impacted is the function MuConnectionManager.getOrCreateConnection of the file powerjob-server/powerjob-server-starter/src/main/java/tech/powerjob/server/web/controller/TestController.java of the component Transport Endpoint. The manipulation leads to server-side request forgery. The attack is possible to be carried out remotely. The exploit

A vulnerability was detected in open62541 up to 1.5.5. Affected by this vulnerability is the function UA_DataValue_backend_copyRange of the file plugins/historydata/ua_history_data_backend_memory.c of the component History Backend. The manipulation results in use after free. The attack can be launched remotely. The exploit is now public and may be used. The project closed the issue report, stating

A vulnerability was identified in Systerel S2OPC up to 1.7.3. The impacted element is the function monitored_item_event_filter_treatment_bs__init_event_filter_ctx_and_result of the file src/ClientServer/services/bgenc/subscription_mgr.c. Such manipulation of the argument EventFilter leads to use after free. The attack may be performed from remote. The exploit is publicly available and might be use

Authorization Bypass Through User-Controlled Key vulnerability in ash-project ash_phoenix lets an attacker who controls filter form parameters filter across relationships the resource author marked non-public, turning the returned rows into a boolean oracle over private related data. AshPhoenix.FilterForm resolved every relationship hop in the user-supplied path with Ash.Resource.Info.related/2,

Incorrect Authorization vulnerability in ash-project ash_phoenix invokes the SubdomainHook authorization callback with a nil tenant, so tenant-scoped access checks never see the tenant they are meant to enforce. AshPhoenix.LiveView.SubdomainHook.on_mount/4 attached a handle_params hook to assign the tenant and then immediately called handle_subdomain in the same on_mount. The tenant assign is onl

Permissive Regular Expression vulnerability in ash-project ash_phoenix lets a remote client select the tenant an Ash application uses, or degrade the request, by sending a crafted Host header. AshPhoenix.Helpers.get_subdomain/2 stripped the root domain with String.replace(host, ~r/.?#{root_host}/, ""). The root host was interpolated raw, so each . became a wildcard and any metacharacter a pattern

Generation of Error Message Containing Sensitive Information vulnerability in ash-project ash_phoenix writes the entire raw submitted param map into an exception message, so secrets submitted alongside a union form field leak into logs, crash reports and the dev error page. When AshPhoenix.Form.Auto builds a union sub-form and the submitted _union_type does not match a configured type, both raise