### Summary The OpenChoreo control-plane **cluster-gateway** served its caller-facing management APIs on the same network listener that accepts data-plane agent connections. In the multi-cluster topology that listener is published outside the cluster, and the management APIs did not authenticate the calling client. A party able to reach the listener could therefore invoke privileged data-plane ope

A flaw was found in submariner. In cert-auth mode, the connection configuration is built using free-form strings from the Custom Resource Definition (CRD) without proper validation. A malicious cluster can exploit this by publishing a CableName that includes newlines and ipsec.conf directives. This allows an attacker to inject arbitrary configuration parameters or execute commands through leftupdo

Boruta is a standalone authorization server that aims to implement OAuth 2.0 and Openid Connect up to decentralized identity specifications. Prior to version 0.10.0, BorutaIdentityWeb.UserSettingsController.update/2 atomizes every key of the user-supplied request body via String.to_atom/1 before any validation. Because String.to_atom interns atoms permanently in the BEAM atom table (default cap 1,

LiteLLM is a proxy server (AI Gateway) to call LLM APIs in OpenAI (or native) format. Prior to versions 1.88.6 and 1.96.2, any authenticated LiteLLM proxy user could redirect an outbound provider call to a destination the user controls and cause the proxy to send its configured provider credentials to that destination. Request validation in litellm/proxy/auth/auth_utils.py, litellm/proxy/common_re

Nuclio is a "Serverless" framework for Real-Time Events and Data Processing. Prior to version 1.16.0, there is a vulnerability in Nuclio Dashboard's project management API, allowing any authenticated user (without membership in the target project) to bypass OPA authorization checks on write paths (PUT /api/projects/{id}, DELETE /api/projects) and modify or delete any project along with all its ass

### Summary The OpenChoreo API server (`openchoreo-api`) authorized requests to its exec and wirelogs endpoints against the project supplied by the caller in the request, rather than against the project that actually owns the target component. The target component was resolved by name only, and the authorization engine decided purely from the caller-supplied resource hierarchy — the component's r

Multiple vulnerabilities in the Secure/Multipurpose Internet Mail Extensions (S/MIME) decryption functionality of Cisco Secure Email could allow an unauthenticated, remote attacker to recover plain text from encrypted email messages. These vulnerabilities are due to insufficient validation of message integrity. An attacker could exploit these vulnerabilities by using a machine-in-the-middle techn

Multiple vulnerabilities in the Secure/Multipurpose Internet Mail Extensions (S/MIME) decryption functionality of Cisco Secure Email could allow an unauthenticated, remote attacker to recover plain text from encrypted email messages. These vulnerabilities are due to insufficient validation of message integrity. An attacker could exploit these vulnerabilities by using a machine-in-the-middle techn

Description: When NGINX Plus is configured as the data plane for NGINX Gateway Fabric, an injection vulnerability exists in the NGINX configuration generator component of NGINX Gateway Fabric. User-supplied string values from the Authentication Filter Custom Resource Definition clientID or cookieName fields, or in the clientSecret field of a Secret referenced by an Authentication Filter, are rende

Ivanti Endpoint Manager Mobile代码注入漏洞

Huawei Secoway USG firewall weak password

SonicWall 已发布安全更新，修复其 Secure Mobile Access (SMA) 1000 系列 VPN 设备中两个已被零日利用的安全漏洞。根据 The Hacker News 的报道，这些漏洞由 SonicWall 内部的 William Perry 和 Adam Babis 发现。摘要中明确列出了其中一个漏洞：CVE-2026-83548（CVSS 评分 10.0），这是一个位于 Appliance 组件中的预认证 SSRF 漏洞。标题提及两个零日漏洞可能形成攻击链，但正文摘录仅提供了该 CVE 的细节，第二个漏洞的信息未在本次输入中完整呈现。由于漏洞已遭在野利用（原文明确标注 'exploited in zero-day attacks'），且 SMA 1000 系列为 VPN 网关，攻击者可能借此绕过身份验证、访问内部网络资源或进一步横向移动。文章没有提供攻击者归因、恶意软件家族、行业/地区影响范围或 ATT&CK 技术 ID，也不包含 IOC。建议相关用户立即评估并应用 SonicWall 安全更新，同时加强 VPN 设备的日志监控与网络流量审查。

As part of Cisco's ongoing commitment to proactive security and product quality, the Cisco IOS XR Software engineering team has conducted a comprehensive internal security review. This review resulted in a software hardening releases that address multiple internally discovered vulnerabilities. The vulnerabilities tracked by CVE-2026-20279 are related to improper access control issues that are gro

As part of Cisco's ongoing commitment to proactive security and product quality, the Cisco IOS XR Software engineering team has conducted a comprehensive internal security review. This review resulted in a software hardening releases that address multiple internally discovered vulnerabilities. The vulnerabilities tracked by CVE-2026-20274 are related to improper resource control issues that are g

该论文针对本地搜索服务（如本地知识面板、地图搜索、语音搜索）中出现的一种新型地下非法药物推广活动——非法药物商户列表——进行了首次大规模测量研究。研究发现，不法分子利用上游本地数据经纪商对数据质量管控宽松的漏洞，发布推广非法药物业务的商户信息。这种推广行为污染了下游主要搜索引擎的知识库，并通过网页搜索、地图搜索和语音搜索触达大量受众。此前，学界和工业界对这种新型非法推广活动的规模、影响和技术手段知之甚少，也缺乏大规模识别此类非法药物商户列表的方法。论文的主要贡献包括：系统性揭示本地商户列表生态系统中存在的数据质量脆弱性和监管缺失；测量此类非法活动的普遍性；评估其对本地搜索受众的影响；并可能提出用于大规模检测此类列表的技术路径。该研究面向安全研究人员、搜索引擎运营商、本地数据经纪商以及政策制定者，有助于理解并应对这一新兴的搜索毒化威胁。

本文研究了检索增强式文生音乐（Retrieval-Augmented Text-to-Music, TTM）系统面临的一种新型数据投毒攻击。此类系统在用户提示词不明确时，会从音乐描述数据库中检索相关文字描述（caption）来增强提示，再交由生成模型创作音乐。这种架构引入了对音乐知识数据库的完整性依赖：数据库中的描述信息可能被恶意利用。作者提出一种名为“音乐描述投毒攻击”（caption poisoning attack）的方法，攻击者只需向数据库中注入少量经过精心构造的音乐描述，即可在不修改用户提示词、检索器或生成模型的情况下，使系统检索到恶意描述，从而令提示增强与后续音乐生成结果偏离用户原本意图，转向攻击者预设的目标方向。为实施该攻击，作者设计了一种双层描述投毒策略：第一层保留高层的检索锚点，确保恶意描述在检索阶段有机会被命中；第二层注入低层的声学描述符，用以操控提示增强过程，引导下游音乐生成朝向攻击者选择的意图。实验基于MusicCaps知识数据库、CLAP检索器与MusicGen生成流水线开展，结果表明，投毒后的生成结果在语义和声学特征上显著接近攻击者目标，同时又能与用户原始查询保持相当程度的一致性，说明攻击具备隐蔽性。该成果揭示了检索增强式创意AI系统面临的实际安全与完整性问题，提示此类系统的数据来源可信度至关重要。适合AI安全研究者、音乐生成系统开发者及关注数据供应链安全的下游应用方阅读。演示见项目主页。

该论文研究的是多链加密货币交易所中原子交换的并行化问题。原子交换是一种去中心化的跨链交易机制，允许不同区块链上的用户直接交换资产而无需信任第三方，但传统原子交换（如哈希时间锁定合约 HTLC）通常只能逐笔串行执行，导致吞吐量低、确认延迟高，难以支撑大规模多链交易场景。论文提出了一种并行化通用原子交换（Parallelizing Universal Atomic Swaps）的方案，核心思路是针对多链环境下的资产交换，设计并发的原子交换协议，使多个交换操作可以同时进行而不会破坏原子性（要么全部完成，要么全部回滚）。方法上可能涉及改进锁定时长、哈希原像共享或新的智能合约结构，以消除串行依赖并缩短交易确认总时间。实验部分（推测）对比了串行与并行方案在交易延迟、吞吐量、成功率等指标上的表现，证明并行化能显著提升多链交易所的效率，同时保持安全性。适合区块链安全研究者、去中心化金融（DeFi）协议开发者以及关注跨链互操作技术的工程师阅读。由于仅提供摘要，结论的置信度有限。

本文针对边缘设备上部署的深度神经网络（DNN）面临模型逆向工程风险这一问题，提出并实现了一种基于动态分析的模型重构框架，称为 NeuroScope。在现实生活中，智能摄像头、智能音箱、工业控制器等边缘设备往往依赖第三方深度学习模型完成推理任务，这些模型承载着厂商的知识产权与核心算法，但设备本身可能被攻击者物理获取或通过固件提取等方式全面接触。论文希望回答一个关键问题：在没有内部架构信息、没有专用调试接口的条件下，能否通过观测设备在运行期间的动态行为来还原模型结构？NeuroScope 将运行中的 DNN 推理进程视为黑盒，通过插桩与轻量级监控采集到内存缓冲区的读写模式、函数调用路径、系统调用序列以及指令流特征，并以此推断网络各层之间的连接关系、层类型、卷积核尺寸、步长、全连接层神经元数量等结构信息。该工具针对边缘设备普遍使用的 ARM 等资源受限架构进行了优化，构建了一套自动化分析流水线，可以逐层解构模型内部计算图的拓扑结构。作者在多种代表性硬件平台上评测了 NeuroScope，覆盖图像分类、目标检测等典型任务中使用的多种常见 DNN 结构，实验结果显示该方法能高保真地重建网络整体结构，且对内存开销与运行干扰控制在可接受范围。这项研究的核心贡献在于从攻击面角度验证了边缘设备上的模型保密性假设并不充分；同时，其分析框架也可以被防御者用于合规审计、恶意模型检测或模型水印验证，具有双向的技术价值。尽管本摘要基于公开标题与领域知识进行归纳，原始论文的具体实现细节和量化指标需以正式出版版本为准。

该论文研究了多个 TCP/IP 协议栈实现中协议头字段的生成过程，发现这些字段会泄露关于全局协议状态的信息，并基于此构造了新的隐蔽信道。以往的工作通常假定主机未被防火墙保护，而本研究针对位于防火墙网络（包括源地址验证 SAV）内部的常见主机场景，提出了非破坏性的攻击方法：在数据外传场景中，非破坏性使得攻击更隐蔽、持续时间更长；在主机别名解析等应用中，确保伦理合规。研究重点覆盖 ICMP 和 UDP：ICMP 常被防火墙放行，UDP 在 HTTP/3 和 QUIC 推动下预计占据更大互联网流量份额，同时论文也对 TCP 给出了结果。核心贡献在于揭示了一种新的信息泄露面——通过远程观察和修改系统全局状态字段实现隐蔽通信，不依赖典型破坏性载荷。适合防火墙设计者、协议栈实现者、蓝队与安全研究员阅读，以理解协议状态信息如何成为隐蔽信道的载体。

Citrix NetScaler 内存泄漏(CVE-2025-5777)

这是一篇来自 CrowdStrike 官方博客的公告，介绍 CrowdStrike 与 Zscaler 达成合作，旨在将持续身份（Continuous Identity）能力引入零信任访问（Zero Trust Access）。文章核心内容是两家公司将 CrowdStrike 的端点检测与响应（EDR）所获得的终端风险信号、身份威胁检测能力，与 Zscaler 的零信任网络访问策略相结合，实现基于用户身份和上下文风险的实时、动态访问控制。这种集成意味着当用户设备存在可疑行为或身份风险升高时，Zscaler 可以自动收紧或阻断访问权限，从而降低因凭证窃取、内部威胁或横向移动带来的安全风险。文章提到的价值在于打破传统只基于静态身份验证的边界防护，而是以持续评估的方式在每一次访问请求中确认用户设备安全和行为可信度。CrowdStrike 作为 EDR 厂商提供终端侧的高保真检测信号，Zscaler 则作为云安全接入点执行策略。两者结合在一定程度上缩短了从检测到响应的闭环时间。需要注意的是，这篇博客并未涉及任何具体的攻击事件、漏洞利用链、恶意软件样本或真实受害者信息；它更偏重产品功能和合作理念的说明。输入元数据中标记了可能的恶意软件家族为 Conti，但正文内容没有提及，也没有相关证据，因此不应据此推断该合作与 Conti 有关。本文对蓝队而言属于生态合作与安全能力演进参考，而非即时威胁预警。

CrowdStrike 于 2026 年 9 月 3 日宣布推出面向 AI 代理的持续身份安全功能（Continuous Identity for AI Agents）。该产品旨在应对企业环境中 AI 代理（如自动化工具、智能助手等）所带来的新兴身份与访问管理挑战。随着 AI 代理被广泛用于执行敏感操作、访问企业数据与系统，其身份验证、权限控制和行为监控成为关键缺口。CrowdStrike 的方案将自身在身份安全（Identity Security）领域的持续身份验证能力扩展至 AI 代理场景，通过实时评估代理的身份与上下文、持续监控其行为风险，在检测到异常时动态调整访问权限或触发阻断。这一功能与 CrowdStrike Falcon 平台的 EDR 能力集成，使安全团队能够针对 AI 代理的会话和活动获得统一的可见性与防护。尽管此公告并未提及具体的 CVE、攻击组织或攻击技术，但其核心价值在于帮助企业应对基于 AI 代理的新型攻击面，并减少因代理权限滥用、凭据泄露或恶意代理导致的数据泄露风险。该消息来源于 CrowdStrike 官方博客，属于产品发布公告，而非威胁事件报告。标签中包含 apt、edr 等关键词，可能反映产品在 APT 防护与端点检测响应方面的延伸，但公告原文并未描述具体攻击活动或恶意软件（tag 中的 Conti 字段未在正文中出现，可能是输入噪声）。

本文提出 CodePoisonRAG，一种针对检索增强代码生成（RACG）的定向上游知识投毒攻击框架。RACG 通过检索外部代码片段、文档和补丁，并将它们注入到 LLM 的生成上下文中来提升代码生成质量，但这也引入了新的信任边界：外部知识库中的恶意伪影可以在不修改底层 LLM 的情况下影响生成结果。已有研究表明，挑选现有易受攻击的示例可以提升 RACG 输出的总体漏洞率，但能否仅构造一个与任务匹配的伪影来传播攻击者精心选择的弱点仍是开放问题。CodePoisonRAG 将良性修复代码条目转化为恶意伪影，其攻击链结合了 CWE 特定的漏洞注入（嵌入从 source 到 sink 的脆弱数据流，同时保持与任务的对齐）和语义误标（添加虚假的安全声明而不修复易受攻击的行为）。攻击者无法访问受害者已部署的知识库、检索器、重排序器、生成器、提示词或防御机制，且每个预估任务最多注入一个伪影。作者构造了 85 个恶意伪影，覆盖 Java 和 C 语言中的 10 个 CWE 类别，整体语料投毒比例仅为 0.7%。在三个生成器上进行评估，所有 85 个伪影都出现在对应查询结果的前三名中，攻击成功率在 0.80 至 0.93 之间；即便面对 CodeGuarder 这类将漏洞特定安全知识注入生成上下文的防御机制，攻击成功率仍保持在 0.40 至 0.71。实验证明 RACG 投毒不仅能偶然传播已有漏洞，还能目标性地构造并传播攻击者指定的弱点。该研究适合大模型安全研究者、代码生成系统开发者和安全运维工程师阅读，以理解代码生成数据供应链中的潜在可信问题。

Looking Glass is a modern, stateless network-diagnostic platform — a single self-contained Go binary that fronts a fleet of routers over SSH and exposes ping / traceroute / BGP lookups through a gRPC (ConnectRPC) API, an embedded SvelteKit web UI, and a lg-cli client. Prior to version 1.3.5, there is an OS Command Injection vulnerability resulting from an unanchored regular expression in the input

The Stable channel has been updated to 152.0.7977.75/.76 for Windows and Mac and 152.0.7977.75 for Linux, which will roll out over the coming days/weeks. A full list of changes in this build is available in the Log Security Fixes and RewardsNote: Access to bug details and links may be kept restricted until a majority of users are updated with a fix. We will also retain restrictions if the bug exis

这篇论文关注 Java 虚拟机（JVM）的测试方法。JVM 是运行 Java 程序的核心基础设施，其可靠性直接影响大量应用的稳定与安全，因此对 JVM 进行严格测试非常重要。现有 JVM 测试技术中，基于合成（synthesis）的方法被认为是最先进的：它从历史可触发 bug 的测试程序中提取各类“程序成分”（program ingredients），再将这些成分合成为一个新的测试程序，以触发新的缺陷。然而，现有方法直接使用与历史 bug 紧密绑定的原始程序成分，这导致两个问题：一是测试范围受限，难以覆盖更多 JVM 功能；二是生成的测试程序多样性不足，降低发现新 bug 的效率。针对这一局限，论文提出了一种“程序成分抽象与实例化”（Program Ingredients Abstraction and Instantiation）方法。核心思路是：不是直接复制历史 bug 中的具体成分，而是先对程序成分进行抽象，提炼其结构特征和通用模式，然后在不同上下文或变异条件下对抽象后的模板进行实例化，从而生成更具多样性和探索性的测试程序。该方法的预期贡献包括：扩大 JVM 测试中对不同指令、类型、执行路径等特性的覆盖范围；提升合成测试程序的可变性，增加触发未知缺陷的概率；为合成式 JVM 测试建立新的成分表示与生成框架。论文主要面向从事编译器/解释器测试、软件可靠性验证和漏洞挖掘的研究人员，以及 JVM 实现方（如 OpenJDK 社区）的质量保障团队。由于本文是 arXiv 上的研究摘要，未提供实验验证的细节，因此其效果评估需以完整论文为准。

### Problem Scrapy’s `S3DownloadHandler` sends signed S3 requests over plaintext HTTP by default. A normal request like `s3://bucket/key` is converted into `http://bucket.s3.amazonaws.com/key` unless `request.meta["is_secure"]` is explicitly set. The generated request is then signed with configured AWS credentials, so AWS authorization material can be sent without TLS. Vulnerable code in `scrap

Boruta is a standalone authorization server that aims to implement OAuth 2.0 and Openid Connect up to decentralized identity specifications. Prior to version 0.10.0, Boruta logged sensitive OAuth and OpenID Connect values in business event logs. Logged values could include access tokens, refresh tokens, authorization codes, agent tokens, direct-post codes, ID tokens, VP tokens, and tokens submitte

Joro is a web exploitation framework. Prior to version 1.1.1, Joro's default proxy mode exposes a local API on 127.0.0.1:9090 that performs no authentication and applies a wildcard CORS policy. Because plugin uploads use the CORS-safelisted multipart/form-data content type, cross-origin JavaScript on any page the operator visits can reach privileged endpoints - including uploading a native plugin

In Eclipse Ditto versions 3.0.0 to 3.9.6, the Things service fetches WoT (Web of Things) ThingModels over HTTP from URLs supplied by API users in the definition field of a Thing or Feature, without validating the target host, and follows HTTP redirects without re-validating the redirect target and without a hop limit. An authenticated user who is permitted to create a Thing, or who holds WRITE per

NocoBase fails to sanitize rich text field values in the read renderer, allowing users with create permissions to store malicious HTML with event handlers. Attackers can write arbitrary markup through the collection API that executes in the browsers of all users viewing the affected record.

BookStack before 26.05.4 contains a stored cross-site scripting vulnerability in the drawing upload endpoint that accepts unvalidated base64 content and stores it without content inspection. Attackers with editor permissions can upload SVG files containing scripts that execute in administrator browsers when accessed through the image gallery API without content-type validation or CSP headers.

WWBN AVideo (current e01e41ecc and earlier) makes three login-time security controls depend solely on the client-supplied User-Agent header. The isAVideoEncoder()/isAVideoMobileApp() checks match HTTP_USER_AGENT against a hardcoded literal ("AVideoEncoder"/"AVideoMobileApp") with no IP check or shared secret. An attacker who submits valid credentials and sets User-Agent: AVideoEncoder bypasses two

AVideo Live_schedule::setTitle() and setDescription() store POST input without sanitization, allowing users with streaming permission to inject malicious scripts. Unauthenticated attackers can access remindMe.php to execute stored XSS payloads in victim browsers without requiring authentication.

Vitest is a testing framework powered by Vite. From 2.1.0 until 4.1.11 and 5.0.0-rc.2, the public mockerPlugin and standalone interceptorPlugin exports in packages/mocker/src/node/interceptorPlugin.ts register the vitest:interceptor:register handler on Vite's unauthenticated HMR WebSocket without validating redirect targets against the file-serving allowlist. The implementation processes event.red

ApostropheCMS is an open-source Node.js content management system, and sanitize-html provides a simple HTML sanitizer with a clear API. From version 1.9.0 until version 2.17.7, packages/sanitize-html/index.js validates an animation value attribute as one flat URL and does not recognize that attributeName selecting href or xlink:href gives the sibling values, from, to, or by attribute SVG SMIL URL

SVGO, short for SVG Optimizer, is a Node.js library and command-line application for optimizing SVG files. From version 1.0.0 until versions 2.8.4, 3.3.5, and 4.1.0, the opt-in removeScripts plugin, named removeScriptElement in versions 2 and 3 and implemented in plugins/removeScripts.js, removes SVG and XHTML script elements but does not inspect executable HTML content inside SVG foreignObject el

joi is a schema description language and data validator for JavaScript. From 16.0.0 until 17.13.6 and 18.2.5, the @hapi/joi package through 17.1.1 and the successor joi package contain prototype pollution in lib/messages.js, where exports.compile() and exports.merge() reuse inherited objects for attacker-controlled language keys supplied through messages(), message(), prefs({ messages }), Joi.exte

Hono is a Web application framework that provides support for any JavaScript runtime. Prior to 4.13.5, Hono's query helpers treat a question mark after a literal hash fragment as the start of a query string, so the application can read request parameters that browsers, new URL(), reverse proxies, filtering rules, parameter allow and deny lists, access logging, request validation, and other middlew

PLANET VDR-300NU ADSL Router - 未授权修改DNS

Acknowledgements

A flaw was found in submariner. In cert-auth mode, the connection configuration is built using free-form strings from the Custom Resource Definition (CRD) without proper validation. A malicious cluster can exploit this by publishing a CableName that includes newlines and ipsec.conf directives. This allows an attacker to inject arbitrary configuration parameters or execute commands through leftupdo

Looking Glass is a modern, stateless network-diagnostic platform — a single self-contained Go binary that fronts a fleet of routers over SSH and exposes ping / traceroute / BGP lookups through a gRPC (ConnectRPC) API, an embedded SvelteKit web UI, and a lg-cli client. Prior to version 1.3.5, there is an OS Command Injection vulnerability resulting from an unanchored regular expression in the input

### Summary An authenticated, non-admin user can obtain **arbitrary host-filesystem read/write** (and host environment-secret disclosure) on an Omnigent **runner** by uploading an agent bundle whose `os_env.cwd` points outside any intended workspace (e.g. `/` or `/home/`). The `cwd` field is taken **verbatim** from the bundle with no validation, normalization, or boundary check anywhere in the sp

### Summary An authenticated user with edit access to their own session can overwrite a shared/template agent by uploading a full agent bundle through `PUT /sessions/{session_id}/agent`. Shared/template agents are shown as not MCP-editable, but this upload path still accepts a replacement bundle. By adding a `stdio` MCP server to the shared agent, the attacker can cause future runner sessions us

### Summary The Twig content sandbox replaces `config` with the redacted `SandboxConfig` facade and strips `Config::get`/`toArray` from the method allowlist (GHSA-j274-39qw-32c9), so editor content can't read config secrets via `config`. That's bypassable: `grav` is the raw container, `offsetget` is allow-listed on it, so `grav.offsetGet('config')` returns the real `Config`. The allow-listed filt

A security vulnerability has been detected in Reader Tools PDF Reader App 98.8 on Android. The affected element is the function ActSplashNew.handleDeeplink of the component File Handler. The manipulation of the argument _display_name leads to path traversal. An attack has to be approached locally. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this di

Under specific conditions, an attacker can register an attacker-controlled FIDO2 credential against a target account and then authenticate as that user. This issue affects on-premises deployments only.

A vulnerability was found in ntegrals openbrowser up to 067fc45d649baa961750da8e2f4a75d87c5c75c8. Affected by this vulnerability is an unknown functionality of the file packages/core/src/agent/agent.ts of the component Browser Agent Message Construction. Performing a manipulation results in resource consumption. It is possible to initiate the attack remotely. The exploit has been made public and c

As part of Cisco's ongoing commitment to proactive security and product quality, the Cisco IOS XR Software engineering team has conducted a comprehensive internal security review. This review resulted in a software hardening releases that address multiple internally discovered vulnerabilities. The vulnerabilities tracked by CVE-2026-20275 are related to incorrect calculation issues that are group

As part of Cisco's ongoing commitment to proactive security and product quality, the Cisco IOS XR Software engineering team has conducted a comprehensive internal security review. This review resulted in a software hardening releases that address multiple internally discovered vulnerabilities. The vulnerabilities tracked by CVE-2026-20280 are related to improper checking or handling of excep

As part of Cisco's ongoing commitment to proactive security and product quality, the Cisco IOS XR Software engineering team has conducted a comprehensive internal security review. This review resulted in a software hardening releases that address multiple internally discovered vulnerabilities. The vulnerabilities tracked by CVE-2026-20276 are related to insufficient control flow management issues

As part of Cisco's ongoing commitment to proactive security and product quality, the Cisco IOS XR Software engineering team has conducted a comprehensive internal security review. This review resulted in a software hardening releases that address multiple internally discovered vulnerabilities. The vulnerabilities tracked by CVE-2026-20278 are related to improper neutralization issues that are gro

As part of Cisco's ongoing commitment to proactive security and product quality, the Cisco IOS XR Software engineering team has conducted a comprehensive internal security review. This review resulted in a software hardening releases that address multiple internally discovered vulnerabilities. The vulnerabilities tracked by CVE-2026-20277 are related to protection mechanism failure issues that ar

A vulnerability in the Silicon One integration for Cisco Nexus 9000 Series Switches could allow an unauthenticated, remote attacker to execute code with root privileges. This vulnerability exists because TCP ports 43210 and 43211 are accessible in the default Layer 3 (L3) virtual routing and forwarding (VRF). A successful exploit could allow the attacker to connect to an affected device and

Jenkins SAML Plugin 4.618.v441a_27fa_46d2 and earlier allows overwriting the SAML identity provider metadata file through Stapler data binding, allowing attackers to replace it with attacker-controlled content and authenticate as any user.

In Jenkins 2.579 and earlier, LTS 2.568.2 and earlier, Jenkins does not rotate the session when a user is authenticated via the "remember me" cookie, allowing attackers able to serve content on the same site as Jenkins to set a known session cookie in the victim's browser, which after the victim authenticates via the "remember me" cookie, grants the attacker access to Jenkins as that user.

A vulnerability exists in an undisclosed BIG-IP Configuration utility page that may allow an attacker to spoof error messages  Impact: An attacker may trick authenticated BIG-IP users into accessing malicious links and reflect a spoofed error message in the victim's BIG-IP Configuration utility web browser session. This is a control plane issue; there is no data plane exposure. Note

Only self-managed Grafana instances with Auth Proxy authentication and identity caching enabled (sync_ttl greater than zero) are affected. The Auth Proxy cache key concatenated the username and forwarded identity attributes without a delimiter, so distinct identities could collide on one key. An authenticated user who shapes their own attributes to collide with a higher-privileged user's, while th

### Impact `fast-uri` decodes a hostname's percent escapes twice in a single `normalize()` or `resolve()` call: once during parsing and again during authority recomposition. A nested percent-encoded host therefore survives the first decode and is turned into a live destination by the second, so `normalize('http://%256c%256f%2563%2561%256c%2568%256f%2573%2574/')` returns `http://localhost/`. Appli

There is an SSRF vulnerability in NLTK 3.9.4's network URL validation. The validate_network_url() function in nltk/pathsec.py fails open when DNS resolution returns an error. The _resolve_hostname() helper at lines 193-234 catches OSError and ValueError during socket.getaddrinfo() and returns an empty list []. When this happens, the validation loop in validate_network_url() iterates over nothing

Firefox browsers

Sign in to Cloud

Sign Up for Free Cloud Tier

iOS 26.4.2 and iPadOS 26.4.2

iOS 18.7.8 and iPadOS 18.7.8

iOS 18.7.7 and iPadOS 18.7.7

iOS 26.4 and iPadOS 26.4

Background Security Improvements for iOS, iPadOS, and macOS

iOS 16.7.15 and iPadOS 16.7.15

iOS 15.8.7 and iPadOS 15.8.7

iOS 26.3 and iPadOS 26.3

iOS 18.7.5 and iPadOS 18.7.5

iOS 26.2 and iPadOS 26.2

iOS 18.7.3 and iPadOS 18.7.3

Compressor 4.11.1

Android Code Search

Android Devices

Secure an Android device

Android 16 QPR2

Mobile network security

iOS 26.5 and iPadOS 26.5

iOS 18.7.9 and iPadOS 18.7.9

iOS 16.7.16 and iPadOS 16.7.16

iOS 15.8.8 and iPadOS 15.8.8

MFSA 2026-56Security Vulnerabilities fixed in Firefox for iOS 152.0

iOS 26.5.2 and iPadOS 26.5.2

MFSA 2026-65Security Vulnerabilities fixed in Firefox for iOS 152.3

MFSA 2026-66Security Vulnerabilities fixed in Firefox for iOS 152.4

iOS 26.6 and iPadOS 26.6

MFSA 2026-73Security Vulnerabilities fixed in Firefox for Android 153.0.3

iOS 26.6.1 and iPadOS 26.6.1

iOS 18.7.10 and iPadOS 18.7.10

【大模型服务平台 TokenHub】&【智能体开发平台 ADP】& 【云开发 CloudBase】 关于腾讯云 DeepSeek-V4-Flash (Model ID：deepseek-v4-flash) 模型下线及切换升级的通知

MFSA 2026-81Security Vulnerabilities fixed in Firefox for iOS 155.0

 Hi, everyone! We've just released Chrome 152 (152.0.7977.75) for Android. It'll become available on Google Play over the next few days. This release includes stability and performance improvements. You can see a full list of the changes in the Git log. If you find a new issue, please let us know by filing a bug.Android releases contain the same security fixes as their corresponding Desktop releas

The Beta channel is being updated to OS version 16765.38.0 (Browser version 152.0.7977.74) for most ChromeOS devices.If you find new issues, please let us know one of the following ways:File a bugVisit our ChromeOS communitiesGeneral: Chromebook Help CommunityBeta Specific: ChromeOS Beta Help CommunityReport an issue or send feedback on ChromeInterested in switching channels? Find out how.Luis Men

M-151, ChromeOS version 16733.60.0 (Browser version 151.0.7922.222) has rolled out to ChromeOS devices on the Stable channel. If you find new issues, please let us know one of the following ways:File a bugVisit our ChromeOS communitiesGeneral: Chromebook Help CommunityBeta Specific: ChromeOS Beta Help CommunityReport an issue or send feedback on ChromeInterested in switching channels? Find out how

Hi everyone! We've just released Chrome Beta 154 (154.0.8037.0) for iOS; it'll become available on App Store in the next few days.You can see a partial list of the changes in the Git log. If you find a new issue, please let us know by filing a bug.Chrome Release TeamGoogle Chrome

Hi everyone! We've just released Chrome Beta 154 (154.0.8037.0) for Android. It's now available on Google Play.You can see a partial list of the changes in the Git log. For details on new features, check out the Chromium blog, and for details on web platform updates, check here.If you find a new issue, please let us know by filing a bug.Chrome Release TeamGoogle Chrome

Firewall for AI

混合专家（Mixture-of-Experts, MoE）是一种用于大规模语言模型的缩放架构，每个token仅激活少量专家模块，从而在近乎恒定的计算量下实现参数规模的巨大增长。近期出现的混合MoE架构进一步引入了共享专家（shared experts）来捕获持续有用的表征，提升了稳定性和泛化能力。MoE目前已被众多开源和商业旗舰模型采用，但依然面临对抗性攻击的威胁。稀疏路由带来了结构性漏洞：MoE的安全性取决于哪些专家被激活，攻击者可以通过越狱提示、恶意微调以及针对安全关键神经元的剪枝来破坏路由选择。现有防御主要聚焦于加固路由器，但由于路由过程的不确定性，攻击者仍可能操纵或绕过路由轨迹，导致防御失效。本文首先从理论和实证上识别出，共享专家作为一种始终被激活的组件，包含少量安全关键神经元，能够克服稀疏路由路径的不确定性，并可作为独立于路由器的锚点来增强全局安全对齐。基于此洞察，作者提出了SEAL，一种训练时的参数高效防御方法，可生成即插即用的适配器附加到共享专家上；以及SEAL++，一种添加正交约束以在训练期间保留预先存在的安全子空间的变体。作者在六种攻击场景下评估了SEAL和SEAL++，这些场景组合了三种对抗性输入（有害提示、越狱、恶意微调）以及是否进行神经元剪枝。实验结果表明，SEAL能将攻击成功率（ASR）最高降低60%，同时在五个基准测试的平均能力代价不超过1.4%。此外，SEAL可以与路由级防御无缝集成，且仅使用0.4%的可训练参数。该工作为MoE模型提供了独特的训练时防御思路，特别适用于对安全对齐要求严格的多专家模型部署场景。

这篇论文提出了一种针对检索增强生成（RAG）系统的知识投毒攻击防御框架。研究背景是：RAG通过外部语料库为大型语言模型提供事实依据，但系统对检索文档的隐式信任构成了严重攻击面。已有研究（如PoisonedRAG）表明，仅需少量精心构造的恶意文档即可在密集检索中占据主导地位，并引导模型生成攻击者预设的答案。针对这一威胁，作者提出了“三层筛”（Tri-Layer Sieve）中间件防御机制。该机制在检索后对文档证据进行三层净化：第一层通过跨嵌入空间聚类并引入独立评判模型，识别并隔离在多个嵌入模型中行为不一致的离群文档；第二层通过结构过滤检测触发词-载荷（Trigger-Payload）这类投毒文档特有的内部结构；第三层利用LLM自身的一致性验证来确认文档内容与生成答案的语义一致性。设计的核心思想是利用检索阶段投毒的固有弱点：单篇恶意文档必须同时迎合嵌入空间的几何特性、内部的触发-载荷结构以及最终的生成目标，三者同时满足极具挑战性，即使面对能对触发词进行改写以规避结构过滤的自适应攻击者，这种脆弱性依然存在。实验在NQ、HotpotQA和MS-MARCO数据集上使用Contriever检索器（k=50）进行，结果显示：将黑盒攻击成功率从67.0%/87.0%/64.0%分别降至3.0%/14.0%/4.0%；针对白盒HotFlip攻击，在NQ上启用第三层后成功率从约74%降至27.8%；受污染文档的MRR降至0.000，同时将攻击场景下的干净准确率从13-33%恢复至58-76%。在面对能改写触发词以绕过结构过滤的架构感知攻击者时，启用一致性验证层可将自适应攻击成功率减半（NQ上从32.0%降至15.0%），并将干净准确率提升18个百分点，但代价是每次实时检索增加约16-19秒延迟。该研究适用于关注RAG安全、对抗检索攻击及LLM安全防御的研究人员和工程师。

该论文提出了一种基于知识图谱完成的技术，用于识别受到特定漏洞影响的库。问题背景是：广泛使用的第三方库存在漏洞时，可能影响数千甚至数百万的下游应用程序，但漏洞数据库（如 CVE 数据库）中往往存在缺失或错误的受影响库信息，超过一半的数据库条目存在此类问题。现有方法通常将受影响的库识别视为独立的文本检索任务，忽视了漏洞数据库中漏洞、库、漏洞类型、产品及软件生态之间的关联关系。为此，作者提出了名为 Athena 的图增强方法，其核心思想是将漏洞数据库建模为知识图谱，并把识别任务转化为知识图谱链路预测／补全问题。Athena 包含三个主要模块：1）漏洞知识图谱建模模块，整合了 CVE、库、CWE 弱点类型、CPE 产品以及软件生态等多类实体与关系；2）知识图谱补全模块，采用模块化的 KGC 主干，通过链路预测预测给定 CVE 可能影响的缺失库；3）重排序模块，利用微调的大语言模型（LLM）并结合知识图谱嵌入，对候选序列进行重新排序，从而同时利用结构化的图谱信息和库描述文本的语义信息。在公开数据集 VulLib 上，作者将 Athena 与四个已有的最佳基线进行比较，实验结果表明 Athena 在平均 F1 值上比性能最优的基线 VulLibGen 提高了 32%。值得一提的是，Athena 所采用的 KGC 主干仅用 1.1 亿参数就超过了 VulLibGen 在 7B 参数最佳配置下的表现，体现了基于图建模的优势；此外，重排序模块在所有评估的 LLM 主干上均带来了额外的性能提升，证明其方法的通用性与有效性。

该论文针对威胁报告知识图谱提取工具评估的可复现性问题进行系统审计。研究者注意到工具发布时引用的三元组F1分数高度依赖于预测三元组与黄金标注之间的匹配规则，而匹配算法（精确匹配、同义词、嵌入相似度等）的选择会显著影响最终得分。作者检查了12个公开系统，仅对5个系统能够重新实现其论文中所述的匹配规则，其余7个规则不透明。在共享文档上使用8种不同匹配协议重新评分10个系统的预测输出，结果显示45对系统排名中有11对发生倒置；同一组预测在不同协议下F1得分可从0.16变化至0.70。在GRID外部378项校准数据集上，作者对比了词汇匹配、嵌入和蕴含等机械匹配器与多审阅者的人工裁决，一致性最高不超过71%，而使用LLM作为评判时一致性达到86%。为分离模型本身与匹配规则的影响，作者构建CTIForge，可固定抽取结果、仅改变验证层。实验发现，在7种部署配置下，验证层对精确率的影响并非单边：4个托管后端精确率提升，3个离线后端精确率下降，该差异与骨干网络、解码和提示耦合，不能简单归因于服务方式。同时，对于明确争论实体类型的动作增加了约2.8倍，说明手写验证规则内嵌了其为之开发的后端的约定。作者开源了完整管道、协议集合和逐三元组审计记录。此工作对于安全团队如何客观评估威胁情报知识图谱工具、避免被表面F1分数误导具有重要参考价值。

本文针对先进制造业中日益复杂的网络物理攻击面与威胁情报分析难题，提出了一种基于图谱的神经符号推理框架 NeuroGraph。尽管大语言模型（LLM）与检索增强生成（RAG）已显著改善威胁情报工作流，但仍存在幻觉问题，并且难以对相互关联的威胁执行结构化推理。传统的图增强 RAG 也缺乏本体一致的多跳推理以及跨异构网络安全数据的透明证据追溯。NeuroGraph 融合了本体感知的符号查询生成、知识图谱检索和神经语言生成，能够在信息技术（IT）与运营技术（OT）环境中进行准确且可解释的威胁分析。该框架采用双大语言模型架构：第一层将自然语言问题转换成可执行的 Cypher 查询，以便在知识图谱上进行符号检索；第二层严格利用检索得到的图谱证据来生成答案，从而抑制臆测。基于公开的 CTI 基准评测，该方法与既有基线相比，在推理准确率上一致更优，同时显著减少幻觉、增强多跳推理能力，并提升了对对抗扰动的鲁棒性。运行时与可解释性分析表明，该框架保持了交互式的推理性能，并输出基于图谱的推理轨迹，分析人员可以据此检查、验证每一步的推理结论。总体而言，这项工作展示了图基神经符号推理在下一代工业5.0环境中作为可扩展、可解释且可靠的威胁情报分析方法的潜力。适合安全研究人员与威胁分析工程师阅读，以了解如何将知识图谱与双 LLM 结合起来提升 CTI 的可信度与可审计性。

本文报告了 OreProof 的设计科学实践：一个面向关键矿物（以黄金为实例）供应链的可追溯性平台原型。核心问题在于供应链中存在结构性矛盾：监管方和买家要求可验证的来源，而上游参与者不愿透露供应商身份、品位/产量和价格等敏感信息。OreProof 旨在解决这种“可验证性与披露性”之间的权衡。架构上采用混合链上/链下数据模型，利用 Groth16 零知识证明实现选择性披露，使用 Merkle 批量锚定管线提升吞吐量，并在公共 zkEVM 测试网上签发符合 UNTP（联合国可追溯性协议）的可验证凭证。实验对比了透明基线，在既定攻击者模型下，可直接推断的机密属性从四类中的三类降至零；批量锚定显著提高了处理量。论文贡献包括原型工件和四条初步设计原则：1）对承诺数据进行证明而不是暴露数据；2）仅验证原始来源并标记混合商品中的未知输入；3）从一开始就签发符合标准的凭证；4）按供应链角色划分披露权限。适合对供应链安全、零知识证明应用、可追溯性系统和隐私保护设计感兴趣的研究人员与从业者阅读。

根据NVD提供的CVE-2026-19117元数据，这是一个严重级别的身份认证绕过漏洞，CVSS基分为9.8，影响本地部署（on-premises）的产品，云服务版本不在影响范围。漏洞的核心在于攻击者在满足特定条件下，可以将自己控制的FIDO2凭据成功注册到目标受害者的账户中。一旦注册完成，攻击者就可以使用该凭据，以受害者的身份完成认证并登录目标系统。这种攻击不要求攻击者具备任何已有特权（PR:N），不需要用户交互（UI:N），并且可以通过网络（AV:N）发起攻击。其对机密性、完整性和可用性都会造成高影响（C:H/I:H/A:H）。尽管漏洞利用依赖某些"特定条件"，但这些条件并未在元数据中详细列出，可能包括目标启用了FIDO2注册而未强制校验邮箱所有权等逻辑缺陷。由于CVSS评分高达9.8，属于紧急级别。同时该漏洞并未被列入KEV，也没有在野利用的证据标记。受影响的具体产品和厂商信息当前未提供，因此各机构应尽可能追查所使用的本地部署解决方案是否使用了FIDO2认证注册机制，并主动与厂商确认。建议的操作包括：及时应用补丁或替代方案，实施网络层访问限制，开启详细的身份验证日志审计，并对异常的FIDO2凭证添加行为进行实时监控和告警。尤其是在无法立即修复的情况下，减少相关系统暴露面是最直接有效的缓解途径。此漏洞可能让外部攻击者完全接管低风险账户，进而垂直或水平移动到更高的权限域，因此需要优先处理。

Cloud & Application Security

From Scanner to Stealer: Inside the trivy-action Supply Chain Compromise

Next-Gen Identity Security

CrowdStrike Expands Identity Leadership with OpenID and IDPro

cloud architecture assessment

ransomware and multifaceted extortion defense

Google Cloud Next 2026Catch-up sessions on the keynotes and select sessions are now available on demand.Explore content on-demand

The Identity Problem Hiding in AI Agent Deployments

94% of Organizations Report Cloud Breaches: CrowdStrike State of CDR Survey

Falcon Cloud Security June 2026 Release: Updates for Azure and Google Cloud

Falcon Cloud Security July 2026 Release: Helping Security Teams Move Faster in the Cloud

CrowdStrike Named Strongest Overall Leader in 2026 Frost Radar™: Cloud Workload Protection Platforms

CrowdStrike Extends Endpoint Security to Stop Software Supply Chain Attacks

CrowdStrike Announces Agentic Identity Provider

瞬态执行攻击（如 Meltdown 和 Spectre）自发现以来持续对 CPU 安全构成严重威胁。尽管业界认知和研究不断增加，但大多数攻击仍依赖人工发现，现有自动化方案要么只关注已知攻击的变体，要么强依赖 CPU RTL 代码、预定义的泄漏模型或 ISA 模拟器等严格假设，导致在后硅（post-silicon）环境下难以实现通用且有效的检测。针对这一空白，论文提出 TREVEX，一个面向数据流瞬态执行漏洞的自动化黑盒检测框架。TREVEX 不需要 RTL 访问权限，也不依赖 ISA 语义，而是基于对以往瞬态执行攻击规律的深入分析，通过注入探测并观测跨执行上下文之间是否存在非预期的数据流动来判定漏洞。研究团队在来自 Intel、AMD 和兆芯的 20 种微架构上进行了系统评估。利用 TREVEX，他们发现了一种新的瞬态执行攻击：浮点除法器状态采样（FP-DSS），该攻击影响 AMD CPU。研究表明，FP-DSS 允许无特权的本地攻击者，甚至一个恶意网站，突破不同安全域（包括操作系统内核）之间的隔离，泄漏敏感数据。此外，TREVEX 还发现了 AMD CPU 上 FPVI 攻击的一个新变体，并确认兆芯 CPU 也受 FPVI 影响。实验证明，TREVEX 能够在受影响机器上可靠地复现已知漏洞，同时补充了现有厂商文档中缺失的信息。这项工作凸显了开发更多元化自动化工具的必要性，TREVEX 填补了当前 CPU 漏洞研究中检测工具匮乏的关键缺口。对于 CPU 安全研究者、处理器设计验证团队以及关注侧信道攻击防护的安全工程师而言，本文提供了后硅黑盒检测的全新思路和可行工具。

该论文研究差分隐私算法的隐私审计问题。传统审计通过模拟基于游戏的协议来猜测两个相邻数据集中哪一个是原始输入，通常需要数千次模拟，计算开销巨大。近期有工作提出对目标算法进行单次运行审计以大幅降低计算成本，但其通用性和所得经验隐私保证的紧致性尚不明确。本文对此进行了深入研究。贡献主要有两点：第一，提出一个基于信息论的统一隐私审计框架，将审计建模为噪声信道中的比特传输问题。该形式化允许推导出基本极限，并为多种差分隐私（DP）协议开发出一种能够给出紧致隐私下界的审计方法。第二，利用此框架揭开“单次运行审计”的机理，识别出单次运行审计可行或不可行的条件。分析结果为执行隐私审计提供了总体指导，并加深了对隐私审计的深层理解。最后，实验表明，该方法在常见差分隐私机制上能产生更紧致的隐私下界，同时所需观测样本数显著更少。文中还通过案例研究证明该方法能够成功检测有缺陷的隐私算法实现中的隐私违规行为。

本文提出了一种名为“Pig in a Poke”的自动化方法，用于检测和利用 Windows 文件操作中的链接跟随（Link Following）漏洞。链接跟随漏洞是一类常见的符号链接攻击，攻击者通过构造恶意链接（如符号链接或连接点）诱导系统或应用程序在访问文件时意外跟随链接，从而导致权限提升、文件覆盖或数据泄露等安全后果。论文研究集中于 Windows 平台的文件操作机制，指出此类漏洞检测通常依赖人工审计且误报率高的痛点。作者设计了一套自动化技术，结合静态分析和动态执行来识别文件操作中的不安全链接处理模式，并能够自动验证漏洞的可利用性。该方法通过监控系统调用和文件路径解析过程，分析链接跟随行为是否可能被恶意控制，从而生成最小化的可利用性证明。实验部分对多个 Windows 系统目录和常见软件场景进行了评估，表明该工具能够有效发现未知的链接跟随漏洞，并显著减少人工分析成本。该研究的主要贡献包括提出一种系统化的链接跟随漏洞检测框架、实现原型工具，并揭示 Windows 文件操作中一类隐蔽的安全风险。本文适合 Windows 安全研究者、漏洞挖掘人员以及防御方安全工程师阅读，以了解这类攻击面并改进防护策略。

本文围绕城市感知场景中的隐私保护问题展开研究。现实中有大量服务型公司（如网约车、电商物流、外卖配送）愿意利用其车辆装备传感器，以低成本、大规模地采集交通拥堵、行驶时间、路面质量、空气质量等城市数据。虽然这些细粒度数据具有巨大的分析价值，但原始传感数据也会暴露车队的位置和规模，属于敏感商业信息，一旦泄露会给竞争对手带来不当优势（例如 Uber 与 Lyft、Amazon 与 Alibaba 之间的竞争）。为此，论文提出一个结合高斯过程回归（GPR）插值、差分隐私（DP）和安全两方计算（2PC）的系统方案：首先利用 GPR 对非全覆盖的传感数据进行空间插值，从而避免直接暴露精确采样点；随后通过差分隐私机制对聚合查询结果添加噪声，保证单车或局部车队的信息不被推断；同时采用安全两方计算协议，在多个参与方之间实现数据处理而不泄露中间值。该系统允许客户端（如普通用户）在不暴露自身位置和偏好的前提下，获得有用且隐私受保护的服务。作者特别强调，系统在计算与带宽开销方面足够高效，可适配资源受限的移动客户端。为了演示端到端可行性，他们构建了一款示例 Android 应用，能为给定起终点提供隐私保护下污染最少的路线选择。整体来看，论文的核心贡献是提出一套面向服务车队测量数据的实用隐私保护框架，在数据效用、车队隐私和客户端隐私之间取得平衡，并通过原型系统验证了其性能与可用性。适合关注物联网隐私、移动感知数据安全、差分隐私应用及安全多方计算工程化的研究人员、隐私工程师和数据平台架构师阅读。

该论文聚焦于 Nakamoto 共识（NC，最早由比特币实现）中固有的安全性与性能之间的权衡问题。尽管后续出现了众多替代共识协议，NC 仍是加密货币领域最具影响力的共识协议，但其安全性要求（如出块间隔、区块传播时间等）限制了系统的吞吐量和交易确认延迟。现有研究大多尝试修改或放弃 NC 的主链协议来打破这种权衡，而本文则另辟蹊径，指出网络层才是关键瓶颈。作者通过实验识别并证明，区块传播延迟的根源在于区块中包含的尚未完全传播到全网（未传播）的交易，这些交易拖慢了区块的传播速度。为此，本文提出一种两阶段确认机制，只对已经完整传播到网络中的交易进行确认，从而在不降低安全性的前提下解除 NC 性能上的限制，释放其潜在吞吐能力。基于该机制，作者提出了 NC-Max 协议。安全性分析证明，NC-Max 相比传统 NC 能提供更强的抵抗交易扣留攻击（transaction withholding attack）的能力；性能评估表明，NC-Max 能够利用网络支持的全部吞吐量，同时在保证安全的前提下，将交易确认延迟缩短为传统 NC 的 1/3.0 至 1/6.6。NC-Max 已在公开的无许可区块链 Nervos CKB 上实现。该研究适合对区块链共识算法、网络安全、以及加密货币性能优化感兴趣的研究者和工程人员阅读，尤其对希望在不牺牲安全性的前提下提升系统吞吐量和降低延迟的区块链平台设计者具有参考价值。

这篇论文提出了一种针对机器学习模型的新型训练时攻击——模型劫持攻击（Model Hijacking Attack）。作者指出，机器学习已被广泛应用于自动驾驶、认证系统等关键场景，但随着模型被大量部署，攻击面也随之扩大。其中一类攻击发生在训练阶段，攻击者在模型训练前或训练过程中实施恶意行为。现有的训练时攻击主要是数据投毒（data poisoning），其目标通常是使模型在特定触发条件下出错或产生后门。然而，本文提出一种截然不同的攻击目标：攻击者试图将目标模型“劫持”到一个完全不同的任务上，同时让模型的所有者无法察觉。这一攻击的危害在于产生问责与安全风险，因为被劫持的模型可能被用于提供非法或不道德的服务，而模型所有者则可能被错误追责。攻击方式本质上仍属于数据投毒，但关键在于隐蔽性：用于劫持的样本需要在视觉上与原始训练数据分布相似，从而避免被防御手段或人工审查发现。为了实现这一目标，作者设计了一类基于编码器-解码器架构的新型ML模型，称为Camouflager，并基于它提出两种具体攻击方法：Chameleon和Adverse Chameleon。实验评估表明，这两种劫持攻击都能达到很高的成功率，且对原始模型在任务上的效用（utility）几乎不造成可感知的下降。该研究揭示了训练数据治理和模型部署前的完整性校验所面临的新挑战，也提示模型所有者需要监控模型行为是否存在向未知任务发生劣化的迹象。对机器学习安全研究者和模型运维者而言，该工作提供了关于训练时攻击形态边界的扩展认识，但需注意此处仅基于摘要，不涉及完整实现细节或可执行代码。

本文提出并开源了一个名为 DNAS-Bench 的确定性基准框架，用于评估生物安全筛选软件（BSS）在核酸合成订单审查中的鲁棒性。研究背景是合成生物学和生物制造快速发展，恶意行为者可能利用商业 DNA/蛋白质合成管线获取受管控的遗传序列，从而降低制造生物武器的门槛。现有 BSS 系统虽能标记潜在恶意订单，但其行为缺乏系统性的、可重复的评估标准。作者构建了首个确定性基准，可针对特定核酸序列以及恶意基因组的目标区域，测试 BSS 的标记行为与潜在盲区，从而帮助判断某一 BSS 是否适合特定生产管线。论文还引入了一个基于 HHS 和 USDA 选择剂与毒素清单的操纵基因组数据集。实验结果显示，SeqScreen 在数据集上标记了 42% 的序列为恶意，而 Commec 标记了 10.2%。在多种操纵策略中，简单方法如将序列用重复核苷酸填充至原始长度的 1.5 倍，其平均检出率仅比嵌入恶意序列到良性基因组背景等复杂方法低 0.75 个百分点。与 BSS 开发者的先前报告一致，当输入序列长度低于临界阈值（通常为 50–100 碱基对）时，检出率急剧下降。在威胁模型下，这意味着攻击者可将目标基因组分割成短于 50 bp 的片段以绕过多数现有防护。片段级分析进一步揭示，SeqScreen 对某些毒素区域完全无法检出，而其他恶意基因组即使在 30–50 bp 片段下仍可被检测。作者开源了框架（GitHub 链接），但出于伦理考虑，数据集需要申请获取。该研究为评估和开发下一代生物安全筛选工具提供了可复现的基准，适合生物安全研究员、合成 DNA 供应商的安全工程师以及关注新兴技术风险的政策制定者阅读。

本文研究面向机器学习训练所用的表格数据集的版权保护问题，提出名为 TabularMark 的水印方法。传统表格数据水印方法在可检测性、非侵入性和鲁棒性等期望属性上存在不足，并且通常仅从数据统计层面保留数据效用，而忽略了水印对下游机器学习模型性能的影响。为此，作者试图回答一个核心问题：能否在不显著损害表格数据集用于训练机器学习模型效用的前提下，为数据集添加水印，同时防止攻击者在被攻击（含水印）的数据集上训练出可用的机器学习模型？TabularMark 方法的核心贡献在于设计了一种兼顾数据统计效用与下游模型性能的水印嵌入机制，使得合法用户在加水印数据上仍能训练出精度可接受的模型，而未经授权使用该数据的攻击者即便得到数据，也难以训练出有效模型。论文通过实验验证了所提方法在可检测性、数据效用保持、鲁棒性以及对抗训练攻击方面的表现。该研究适合数据隐私保护、数据资产管理、机器学习安全以及模型知识产权保护领域的研究者与工程师阅读，属于数据水印与机器学习交叉方向的前沿探索。由于当前仅获取到论文摘要，无法得知具体实验细节与定量结果，整体判断为一项尚处于研究阶段的方法学成果。

本文针对加密网络流量侧信道特征在复杂网络拓扑下因丢包、重传导致特征碎片化，进而使现有基于学习的流量分析方法性能显著下降的问题，提出了一种基于预训练的增强框架 Nüwa。Nüwa 的核心思想是对加密流量会话中缺失数据包的侧信道特征进行补全（imputation），尤其关注缺失包的时间属性。该框架由三个模块组成：词级序列嵌入模块（word-level Sequence2Embedding）、基于流量噪声的自监督预训练掩码策略（Traffic Noise-based Self-supervised Pre-trained Masking Strategy），以及流量侧信道特征补全模块（Traffic Side-Channel Feature Imputation Module）。通过在四个不同真实场景下的实验，作者验证了 Nüwa 能够有效恢复主流时序模型在碎片化特征下的性能，同时保持补全后特征的完整性。该研究为在网络丢包环境下提升加密流量分析鲁棒性提供了一种新思路，适合网络安全研究人员、流量分析工程师以及关注预训练方法在安全领域应用的从业者阅读。

拜占庭容错（BFT）协议是分布式系统中最难设计和推理的组件之一。近年来，形式化验证领域发展出多种计算机辅助方法，能够对独立（standalone）BFT 协议的安全性与活性进行自动化验证；与此同时，分布式计算社区也尝试将复杂协议拆分为更简单的“构建块”进行组合，以降低设计新协议的概念复杂性。然而，到本文发表为止，还没有任何方法论能够将这两种研究路径统一起来，实现对任意复合式 BFT 协议的基础性（foundational）验证。本文提出了一种复合式拜占庭协议的组合验证方法，核心贡献是建立一套形式化框架，使协议设计者可以基于已验证的简单子协议模块，通过组合规则安全地构建更复杂的 BFT 协议，并自动继承或证明整体协议的期望正确性属性。作者综合运用了并发证明、协议组合理论和自动验证工具，给出了模块化推理规则，并展示了该方法在多个经典 BFT 协议变体上的可行性。这项工作填补了分布式系统形式化验证中的一个空白，有望将 BFT 协议的正确性证明从“一次性、手工程序化”转化为“可组合、可复用”的工程实践。对于研究分布式共识、区块链底层以及安全关键系统的人来说，本文提供了从组合视角系统性验证容错协议的新思路。

本文针对Tor匿名网络中的网页指纹识别（Website Fingerprinting, WF）攻击在细粒度场景下的局限性展开研究。传统WF攻击通常只能区分不同网站，但当需要识别同一网站内的不同子页面（即网页指纹，WebPage Fingerprinting, WPF）时，由于这些页面产生的加密流量模式高度相似，攻击准确率显著下降。此外，真实场景中客户端往往并发访问多个网页，进一步增加了从混合流量中分离单个网页流量模式的难度。针对上述问题，作者提出了一种名为Oscar的攻击方法，其核心思路是基于多标签度量学习（multi-label metric learning）对特征空间进行变换，从而从混淆流量中提取不同网页的细微差异。Oscar的关键技术在于将基于代理（proxy-based）和基于样本（sample-based）的度量学习损失函数相结合，以有效学习网页特征并同时识别多个目标网页。作者在真实环境中采集了1000个受监控网页和超过9000个未受监控网页的流量数据，对Oscar进行了原型实现和性能评估。实验结果表明，与最先进的攻击方法相比，Oscar在多标签度量Recall@5指标上实现了88.6%的提升。这项研究揭示了现有WF防御在细粒度场景下的脆弱性，为匿名通信系统的隐私保护研究提供了新的视角。

该论文题为《A Leakage-Free Framework for Private Set Operations》，作者包括 Wenhao Wu, Yuyue Chen, Bowen Shen, Peng Yang, Ximing Fu, Zoe Lin Jiang, Junbin Fang。由于提供的摘要内容为空，本摘要仅能基于标题与所属研究领域进行概述。私有集合操作（Private Set Operations, PSO）是安全多方计算的重要分支，典型操作包括私有集合交集、并集、差集及基数等，目标是在不泄露参与方各自私有集合的前提下完成计算。传统协议往往会在不经意间泄露超出预定结果的信息（如集合大小、元素分布等），形成侧信道风险。该研究提出的'无泄漏框架'，从命名上可推断其核心目标是彻底消除这类额外信息泄露，确保协议仅暴露最终运算结果，而不泄漏任何中间数据。这通常需要结合同态加密、混淆电路、秘密共享等密码学原语，并可能引入更强的安全模型，如可模拟安全。论文标题所强调的'框架'暗示其可能提供一种通用方法，而非单一协议。对于安全从业者而言，此类研究有助于设计更严谨的数据协作方案，特别是在法律合规需求高的场景（如医疗、金融）中。但受限于信息不全，无法评估具体技术路线、效率表现或实验验证，也无法确认其相比现有工作的实际优势。建议读者直接查阅论文原文或官方更新以获取完整内容。

全同态加密（FHE）允许第三方直接在加密数据上执行计算，是隐私计算的关键技术，但巨大的计算开销严重制约其实际应用。本文作者提出 Parasol Compiler，一个旨在大幅提升 FHE 程序效率的编译器框架。FHE 程序的效率瓶颈不仅来自密码学原语本身，也来自普通程序结构与同态运算之间的语义鸿沟。Parasol 编译器试图从编译层面入手，结合高级语言的前端表示、针对 FHE 的中间表示以及后端代码生成，实现一整套面向同态求值的优化流程。具体可能涉及：将复杂控制流转换为可同态执行的多项式形式；降低引导操作（bootstrapping）的调用频率与插入开销；优化噪声预算的分配策略；自适应地选择适合不同 FHE 实施方案（如 BGV、BFK、CKKS）的代码生成路径；以及针对现代硬件（如 CPU、GPU、FPGA）调度同态运算。通过此类编译期优化，开发者能够以接近普通编程的方式编写 FHE 程序，而无需手写底层电路，从而在代码可维护性与执行效率之间取得较好平衡。论文可能给出了多组基准测试，对比现有 FHE 编译器和手工优化实现，以证明该框架在运行时间、噪声管理和资源利用等方面的优势。由于输入信息中仅包含论文标题与作者，未提供详细摘要，上述技术细节系基于领域常识进行的合理推断，读者若需了解准确的算法设计、实验设置和量化结果，仍应查阅原文。该研究对于推进同态加密在实际隐私计算环境中的落地，以及降低安全应用中的高性能开发门槛，具有一定参考价值。

无人机开源飞控 PX4-Autopilot堆栈溢出漏洞 CVE-2025-15150

MongoDB内存泄漏 CVE-2025-14847(MongoBleed)

1Panel 代理证书验证绕过导致任意命令执行漏洞(CVE-2025-54424)

ModelContext Inspector 未授权访问漏洞(CVE-2025-49596)

llamaindex SQL 注入漏洞(CVE-2025-1750)

Screen 本地权限提升漏洞(CVE-2025-23395)

Zabbix认证后SQL注入漏洞(CVE-2024-42327)

ProjectSend认证绕过漏洞(CVE-2024-11680)

PyTorch库RPC框架反序列化RCE漏洞(CVE-2024-48063)

Grafana认证后DuckDB-SQL注入漏洞(CVE-2024-9264)

SPIP BigUp Unauthenticated RCE(CVE-2024-8517)

Rejetto HFS 远程命令执行漏洞(CVE-2024-39943)

Apache HugeGraph-Server Command Execution In Gremlin（CVE-2024-27348）

Zabbix 后台延时注入(CVE-2024-22120)

CrushFTP 认证绕过漏洞（CVE-2024-4040）

Alert for CVE-2026-21992

Alert for CVE-2025-61884

Alert for CVE-2025-61882

Alert for CVE-2024-21287

Alert for CVE-2022-21500

Alert for CVE-2021-44228

Linux 内核提权 CVE-2026-31431(copy-fail)

Alert for CVE-2026-35273

本论文的标题为《Navigating Security and Privacy Threats in Homeless Service Provision》，作者包括 Yuxi Wu、Ruoxi Zhang、Mufei He 等。由于本次输入仅提供论文标题与作者列表，未包含论文摘要正文，因此无法对研究背景、具体方法、实验设计与结论进行详细总结。根据标题推断，该研究关注无家可归者服务提供（如收容所、救济机构、社会服务项目）过程中的安全与隐私威胁，可能涵盖服务对象敏感个人信息（如健康、身份、居住记录）的收集、存储、使用与共享环节的隐私风险，以及相关数字系统可能遭受的攻击面。作者团队中可能包含计算机安全、公共政策或人机交互领域的研究者，因此该工作可能采用跨学科方法，例如质性访谈、系统建模、隐私影响评估或设计对策。读者应查阅原文获取实际研究内容。

本文研究视觉 Transformer（ViT）在分割推理（split inference）场景下的隐私泄露问题。在典型的边缘-云协作推理中，边缘设备将中间层的 token 表示发送给远端云模型，为了降低通信与计算开销，通常采用 token 减少（即丢弃部分 token）和 token 洗牌（打乱 token 的空间顺序）两种轻量化策略，并假设洗牌可破坏 token 间的空间对应关系，从而降低输入重建攻击的风险。然而，作者指出这些策略的实际隐私保护效果尚未被充分验证。基于对 Transformer 内部表征的分析，论文发现即便打乱了 token 顺序，被传输的 token embedding 中仍保留了大量的位置信息，足以使攻击者恢复原始空间布局。为此，作者提出了一种统一的重建攻击流水线——空间对齐重建攻击（Spatially Aligned Reconstruction Attack, SARA）。SARA 首先利用位置预测头估计每个 token 的原始位置，然后依据预测结果恢复空间排列；之后，通过一个基于特征空间的掩码自编码器（feature-space masked autoencoder）补全因 token 减少而缺失的 embedding；最后，利用恢复出的完整 token 特征图重建输入图像。实验证明，SARA 能够在 token 洗牌的情况下高保真地恢复原始 token 组织，说明 token 洗牌提供的隐私保护只是表面上的、易被攻破的；相比而言，token 减少提供了更强的保护，但当保留的 token 仍然包含充足的语义与位置信息时，泄漏依然显著。针对上述弱点，作者提出了一种轻量级的边缘侧防御方法：在边缘侧 Transformer 模块中移除位置 embedding，并通过知识蒸馏逐步适配边缘模型，从而使传输的特征不再显式携带位置线索。防御在几乎不损失下游任务精度的前提下，显著降低 SARA 的攻击成功率，且不需要修改云侧模型。该工作揭示了大模型分割推理中隐藏的位置信息泄露风险，并为构建防御提供了可行的解决思路。适合对隐私保护、对抗性攻击、模型架构安全感兴趣的 AI 安全研究者与边缘计算从业者阅读。

MultiGait 论文针对智慧城市新兴传感器（热成像相机、深度相机、激光雷达等）缺乏合适数据集、难以系统评估其隐私风险的问题，构建了首个多传感器、多视角、多会话的步态数据集，并形成了一套身份推断基准。作者认为，在大量关于传感器隐私影响的未经证实说法出现、且这些传感器可能被大规模部署到日常生活的背景下，单独以及横向比较理解这些传感器的隐私风险至关重要。为此，MultiGait 数据集采集了 199 名受试者的多种行走模式和带标注的个人属性，覆盖八种传感器、四种视角和三个录制会话，并借助多种最先进的识别系统进行了验证，可支持跨传感器识别和边缘端匿名化等深入研究。论文核心贡献是通过这个基准进行大规模身份推断实验，结果显示：一些通常被认为隐私友好的传感器（例如热成像或深度传感器）依然存在相当显著的身份识别风险；同时，现有方法在跨会话泛化方面表现较差，这揭示了当前步态识别研究的一个重要空白——即模型在不同时间、不同条件下的稳定性不足，而这对实际部署中的隐私保护至关重要。整体而言，MultiGait 为严格的传感器隐私调查提供了基础资源，适合隐私安全研究人员、智慧城市系统设计者以及计算机视觉领域关注步态识别和身份匿名化的学者阅读。

本文研究 Agentic AI 系统在推理时处理敏感数据（如医疗记录、金融文档）时面临的隐私泄露问题。与以往主要关注通过越狱攻击直接诱导模型泄露敏感内容的研究不同，本文首次系统化地研究了 Agent 自身的工具调用所组装出的隐藏上下文（hidden context）的泄露风险。作者通过安全游戏的形式形式化了上下文推断攻击（context-inference attacks），并设计了三种攻击场景：已知上下文、未知上下文以及由 Agent 通过自身工具检索得到的上下文，以反映攻击者知识逐渐减少且上下文传递变得间接的现实情况。他们还区分了灰盒设置（使用目标模型本身对观测结果打分）和黑盒设置（攻击者使用自己控制的替代模型打分）。实验针对一个具备网页浏览能力的 Agent 模型，在基线防护措施（不泄露上下文的指令、logit 抑制、上下文稀释）下，发现该 Agent 仍然可被利用：在已知上下文的小规模候选中，攻击成功率（ASR）达 100%，1024 候选时也有 63%；当模板和周围记录未知时，AUROC 为 78.9；当 14B 替代模型对 32B 目标模型打分时，AUROC 达 92.5；而当记录通过 Agent 的检索返回时，AUROC 仍达 81.8，远超随机基线（1/|Z| 和 50）。论文进一步刻画了泄露随查询预算、上下文大小和目标模型规模的变化规律，且发现同一攻击无需修改即可贯穿所有三种设置。该工作揭示了 Agentic AI 在数据组装流程中存在可被利用的侧信道信号，对安全社区理解与防御此类新型隐私威胁具有重要参考价值。适合关注 LLM 隐私、可信 AI 和安全攻防的研究人员及工程团队阅读。

本文研究的是大语言模型（LLM）推理级联（inference cascade）中的可靠性代价问题。推理级联是一种常见的成本优化策略：大部分查询由一个廉价小模型处理，只有困难样本才升级到能力更强的前沿大模型作为验证器。一种自然扩展是闭环自我改进：用验证器拒绝的样本（即小模型答错且被验证器识别出的尾部数据）对小模型进行微调，期望每轮降低升级率和成本。作者在真实LLM上测量了这一闭环，发现四个关键结果。第一，验证器的盲区（即验证器接受但实际是小模型答错的比例）很大且随能力对抗性变化：当学生模型从0.5B扩展到32B时，盲区比例β从0.12增至0.55；盲区随验证器能力提高而缩小，因此在廉价学生+廉价验证器的组合中表现最差——而这正是级联存在的初衷场景。第二，付费消除盲区会抵消成本节省：使用前沿验证器可将β降至约0.05，但在hard-MATH基准上，升级率高达46%，而真实错误率仅为39%，意味着几乎一半流量都要支付前沿模型的价格。第三，对验证器拒绝的尾部做朴素的纠正式微调（跨同族和跨家族教师模型）不仅没有改善小模型，反而导致其性能退化甚至崩溃，说明在当前规模下，自我改进环路是自我挫败的。第四，在上述所有过程中，级联自身的仪表盘（所有通过验证器计算的指标）始终显示约3%的错误率，而真实交付错误率最高可达32%——系统天生就对自己的退化视而不见。作者进一步给出了解释这种盲区的理论：一个两总体守恒律ε_∞ ≲ q₀β₀，在该机制下循环内指标不断优化，但真实质量并不提高，并通过合成研究验证了这一机制。实际结论是：自我改进级联的可靠性无法通过其自身验证器计算的任何指标读取。该论文适合关注LLM系统成本与可靠性权衡的研究人员、设计级联推理系统的工程师以及需要理解模型评估局限性的安全从业者。

这篇论文研究在智能体（agent）时代，视觉验证码（CAPTCHA）面临的新威胁。作者指出，基于视觉语言模型（VLM）的智能体虽然能解决验证码，但每次都是从零开始，效率低；而专门的检测器虽然快，但只能处理训练过的类别。论文提出一个核心问题：如果求解器能从每次交互中学习，会有什么变化？他们构建了一个系统，结合微调的 YOLOv8 检测器和一个开放权重 VLM，通过基于置信度的路由器进行决策，完全从屏幕截图和操作系统输入事件运行，不依赖浏览器自动化或 DOM 访问。该系统在16个类别上达到85.4%总体准确率和84.2%宏平均准确率，高于任一单独组件。关键创新是：VLM 产生的每个答案同时也作为训练标签，使检测器能够吸收从未训练过的类别，通常只需一两次接触，无需人工标注。这个循环还能自我修复：如果验证码运营方对公开检测器施加图像扰动，可将其准确率降至0%，但扰动不影响 VLM，其生成的标签能让检测器恢复。在模拟一年的军备竞赛中，对手每月重新设计扰动，求解器每轮都能恢复，而且一个约70%准确率的廉价开源教师模型也能起到与完美预言机同样有效的强化效果。论文的结论是，视觉验证码防御若假设失败者会一直失败，会低估自适应求解者的恢复速度。

本文提出了一种面向辅助生活场景的声学传感隐私防火墙，旨在解决环境音频监测中的语音隐私问题。研究背景是：声学传感为非侵入式监测老年人日常活动提供了有前景的手段，但语音隐私顾虑成为实际部署的关键障碍。核心方法是使用基于 U-Net 编码器-解码器的管线，仅用合成数据训练，用于从环境音频中去除语音，同时保留反映日常活动的环境声音。活动识别采用 VGGish 迁移学习与 SVM 分类器。在 ESC-50 和 SINS 数据集上，针对多种语音含量水平进行评测，该模型在所有测试条件下将残余语音降低到 0% VAD 可检测（Silero Voice Activity Detection），在 ESC-50 的 100% 语音水平下优于 Facebook Denoiser（残余 6.55%）、SepFormer（36.34%）和 ConvTasNet（47.21%）。在 ESC-50 的 40% 语音水平下，语音去除后分类性能恢复到 85% 精确率和 85% 召回率，而语音去除前为 81%/75%，无语音基线为 84%/83%。使用 AudioHive 应用收集的真实家庭录音评估显示，处理后 0% VAD 可检测语音，同时保持 76% 的精确率和召回率。该管线能够在不大幅牺牲活动识别性能的前提下实现隐私保护的声学传感，解决了老年护理环境监测应用中的关键障碍。本文适合关注普适计算、声学感知、隐私保护机器学习、老年护理技术以及边缘 AI 部署的研究人员和工程师阅读。

该论文提出一种面向联邦学习中私有平均聚合的多密钥同态加密协议。联邦学习允许多个客户端在不共享原始数据的情况下训练共享模型，但传输的模型更新仍可能泄露敏感信息，因此私有聚合是实际部署中的关键组件，尤其是跨孤岛场景。传统单密钥同态加密（HE）假设服务器与客户端不共谋，这在实际中难以保证；而多方同态加密（MHE）虽然能突破该限制，但近期在受限解密访问下的攻击要求协作解密时加入方差极大的涂抹（smudging）噪声，导致密文尺寸显著增大、实现复杂度变高。本文基于RLWE同态加密，提出一种轻量级多秘密密钥协议，从而避免生成集体公钥。每个客户端用自己的密钥加密更新，同时密文仍支持同态聚合与协作解密。通过显式跟踪并在解密时抵消密文噪声，该协议不再需要依赖安全参数λ的大噪声涂抹，简化了实现。作者用精确型BFV和近似型CKKS两种变体实例化该构造，并在半诚实安全模型下证明其安全性，对手可腐化聚合器以及最多L-1个客户端。与现有MHE聚合方案相比，通信和运行时间评估表明，该方法大幅减少密文扩展率并降低在线开销，同时保持了实用的同态聚合性能。论文的核心贡献是提出一种无需集体公钥的多密钥HE协议，消除了对涂抹噪声的需求，提高了隐私聚合的效率。该研究适合隐私保护机器学习、同态加密和联邦聚合系统设计者阅读。

本文针对基于脑电图（EEG）信号的神经生物特征认证系统展开安全性研究。现有工作大多关注深度学习分类器在白盒条件（即攻击者完全掌握模型参数与结构）下的对抗攻击，而对其他类型的神经特征识别方法以及更实际的仅具备黑盒查询权限的攻击场景关注不足。为此，作者提出了一套自适应攻击算法集合，攻击者只需窃取EEG原始记录，通过向信号中添加精心设计的扰动，即可在完全不了解认证系统内部细节的情况下，使认证系统错误接受或拒绝目标用户。研究在6个公开EEG数据集上进行了验证，覆盖三类采集条件：视觉刺激反应、运动想象和静息态。实验结果表明，不同的神经特征提取方法对于对抗攻击的抵抗力存在显著差异；同时，攻击成功率受EEG采集时用户任务状态的强烈影响，不同任务下系统脆弱性有明显波动。最后，作者根据对抗测试结果提出了若干提升神经生物特征认证安全性的建议。该研究揭示了EEG生物特征在实际部署中可能面临的伪造威胁，为神经信号身份认证领域的可靠性评估提供了新视角。

量子计算的发展威胁现有公钥加密体系，量子安全IPsec成为过渡期的重要方案。业界常将量子密钥分发（QKD）与传统密钥交换结合以增强安全性，但这带来了运维挑战：当QKD基础设施发生故障时，如何维持IPsec隧道的高可用性？本文设计、实现并实验评估了一种量子安全密钥建立机制，集成于开源StrongSwan插件中。该机制采用“哨兵”协调协议，通过RFC 9370多密钥交换标准同时组合X25519（经典）、ML-KEM（后量子）以及ETSI GS QKD 014产生的密钥；在QKD密钥交付失败时，不再中止握手进程，而是允许隧道以降级模式建立，并在下一次重新密钥时自动恢复QKD密钥参与。实验在33公里已部署光纤的大都市QKD链路上进行，测试了从“X25519+RSA”基线到“X25519+ML-KEM-1024+QKD”完整混合方案共五种配置。结果显示，完整混合认证耗时约103毫秒，基线为61毫秒，QKD密钥获取的额外时延仅约7毫秒，性能开销可控；故障注入实验进一步证实，即便密钥管理设备（KME）完全中断，受保护的流量仍能保持不中断。该研究为混合量子安全的IPsec部署提供了实用的容错方案和开源参考实现，对QKD落地中的可靠性问题给出了清晰的设计思路。

本文是一篇关于扩展现实（XR）中运动数据隐私的系统化知识综述（SoK）。XR 设备（如 VR/AR 头显）依赖对用户身体动作的持续追踪来实现沉浸式交互，例如抓取、注视或移动虚拟物体。然而，运动追踪数据记录了个体独特的运动模式，现有研究表明这些模式可用于步态识别、用户画像等，进而泄露身份、健康状况、情绪状态等敏感信息。随着 XR 的普及，获取大规模运动数据变得空前容易，这构成了核心功能与用户隐私之间的根本矛盾。此前关于 XR 隐私的 SoK 研究视野较广，运动相关研究分散在不同隐私主题中，未作为独立领域。而自前次 SoK 以来，XR 运动隐私文献数量几乎翻了两番，亟需专门系统化梳理。本文回顾了 134 篇相关论文，系统分析了攻击者获取用户运动模式的方式、可从中推断出的信息以及现有保护方法。作者综合出运动模态、表征和推断风险的类型学，构建了 XR 运动威胁模型，梳理了攻击与防御研究脉络，识别了文献空白，并为未来运动隐私机制的评估提供了指南。该 SoK 为 XR 运动隐私领域绘制了清晰的全景图，并提出了面向后续研究的建议。适合 XR 安全研究人员、隐私工程师以及人机交互与安全交叉领域学者阅读。

论文《PhantomCall: Evading ML Malware Detectors via Function Call Graph Perturbation》研究了面向Windows PE恶意软件机器学习检测器的对抗攻击。现有攻击通常针对原始字节、PE头或函数内部控制流图（CFG），但尚未将函数调用图（FCG）作为攻击面。FCG是图基恶意软件检测器的重要特征。作者提出PhantomCall，这是一种黑盒攻击方法，通过向目标调用点注入完全可执行的虚拟函数来扰动FCG，从而在CFG与FCG中新增节点和边，同时保持程序语义。该方法结合了分类器引导搜索和可调节的注入参数，能够应对三种架构迥异的分类器。实验基于2025年收集的Windows恶意软件语料库，针对MalConv（原始字节CNN）、MalGraph（图基GNN）以及SAFE+GNN（在2024年语料库上从头训练的纯FCG GNN）进行评估，并在两种FPR阈值下测试。结果显示，最佳PhantomCall变体在所有配置下的攻击成功率达85%至100%，在MalGraph上比此前最优方法最多高出14.78个百分点，在SAFE+GNN上最多高出95.5个百分点，同时平均生成逃逸变体的速度比此前方法快达2.9倍。对于MalConv和MalGraph，大多数逃逸仅需修改单个调用点；此外，在全部配置中，86%至97%的评估逃逸变体在基于沙箱的语义测试中保留了原始恶意行为。该研究首次系统地证明了FCG扰动可作为一种高效的对抗攻击表面，对依赖图神经网络的恶意软件检测器构成显著威胁。

这篇论文提出了一种可在极低深度量子电路上求解、可被经典计算机高效验证、并且在基于格（Lattice）的假设下对多项式时间经典算法困难的新采样问题。该量子采样器有两种实现方式：一种使用对数-对数深度（log-logarithmic depth）的量子电路，即 QNC^0[log log] 电路，其中门为单比特和双比特门；另一种使用常数深度但允许无界扇入门（unbounded fan-in gates）的 QAC^0 电路。工作的核心思路是将 Arabadjieva 等人（2025）基于 LWE（Learning with Errors）问题的单轮量子性证明（proof of quantumness）编译到极低深度。为此付出的代价是需要依赖相对不太标准但仍有充分动机的假设：除了 Arabadjieva 等人使用的格知识假设（lattice knowledge assumption）外，还要求 LWE 的自适应硬核比特（adaptive-hardcore-bit）性质的一个加强版本，论文对该加强假设提供了支持性证据。与以往的低深度量子性证明不同，该方案的量子计算不需要中途测量（mid-circuit measurements）或前馈（feed-forward），只需运行一个浅电路并对其输出分布进行采样即可。这表明浅量子电路具有足够的结构来解决某些经典上困难的任务，并且其解可以被经典计算机高效验证。该结果对量子优势研究、浅电路复杂性理论以及基于格的密码学在量子计算验证中的应用具有重要意义。适合量子计算、复杂性理论、量子密码学以及理解可验证量子优势的研究人员阅读。

A security flaw has been discovered in tsi-coop tsi-dpdp-cms up to 0.5.0. This vulnerability affects unknown code. The manipulation results in client-side enforcement of server-side security. The attack can be launched remotely. The exploit has been released to the public and may be used for attacks. Upgrading to version 0.5.1 is able to resolve this issue. It is recommended to upgrade the affecte

A vulnerability was identified in tsi-coop tsi-dpdp-cms up to 0.5.0. This affects an unknown part of the file InterceptingFilter.java of the component Bootstrap Setup Endpoint. The manipulation leads to missing authentication. The attack can be initiated remotely. The exploit is publicly available and might be used. Upgrading to version 0.5.1 is able to mitigate this issue. Upgrading the affected

A vulnerability was determined in tsi-coop tsi-dpdp-cms up to 0.5.0. Affected by this issue is some unknown functionality of the file web.xml of the component Admin Console/DPO Compliance Console. Executing a manipulation can lead to missing authentication. It is possible to launch the attack remotely. The exploit has been publicly disclosed and may be utilized. Upgrading to version 0.5.1 can reso

HTTPX2 is a next generation HTTP client for Python. Prior to 2.12.0, the HTTPX2 content decoders in src/httpx2/httpx2/_decoders.py fully inflate each gzip, deflate, br, or zstd network chunk before iter_bytes() or aiter_bytes() yields bounded pieces to the application. A 64 KiB compressed chunk can expand to approximately 64 MiB in one intermediate allocation, so an attacker-controlled or compromi

HTTPX2 is a next generation HTTP client for Python. Prior to 2.10.0, httpcore2 fails to start TLS in src/httpcore2/httpcore2/_sync/socks_proxy.py and src/httpcore2/httpcore2/_async/socks_proxy.py when the remote origin uses wss through a SOCKS5 proxy because the TLS upgrade condition only recognizes https. HTTPX2 exposes the flaw through Client.websocket() and AsyncClient.websocket() from 2.6.0 th

HTTPX2 is a next generation HTTP client for Python. Prior to 2.11.0, Request._prepare() in src/httpx2/httpx2/_models.py can add a body-derived Content-Length header to a request that already contains a caller-supplied Transfer-Encoding header because its setdefault() processing checks each default header independently rather than treating the two framing headers as mutually exclusive. Fixed-size b

HTTPX2 is a next generation HTTP client for Python. Prior to 2.11.0, FileField.render_headers() in src/httpx2/httpx2/_multipart.py directly interpolates attacker-controlled content_type values and custom headers from the files= three-element (filename, content, content_type) tuple and the files= four-element (filename, content, content_type, headers) tuple into multipart/form-data part headers wit

PREVAIL is a Polynomial-Runtime EBPF Verifier using an Abstract Interpretation Layer. Prior to version 0.2.4, the prevail eBPF verifier accepts ALU32 ADD and SUB instructions that operate on pointer-typed registers without checking the is64 flag. Because ALU32 arithmetic zero-extends the 32-bit result, the upper half of any pointer is silently destroyed at runtime, yet prevail marks the program as

PREVAIL is a Polynomial-Runtime EBPF Verifier using an Abstract Interpretation Layer. Prior to version 0.2.4, in the Prevail eBPF verifier, EbpfTransformer::add() silently skips offset-variable updates when the destination register carries a non-singleton typeset (two or more simultaneously possible pointer types). Subsequent bounds checks use the stale offset and accept out-of-bounds memory acces

PREVAIL is a Polynomial-Runtime EBPF Verifier using an Abstract Interpretation Layer. Prior to version 0.2.4, the abstract transformer in prevail treats writes through a T_CTX-typed base register as a silent no-op: do_mem_store in src/crab/ebpf_transformer.cpp only models T_STACK stores, and the checker's T_CTX bounds arm never tests AccessType::write. An attacker can craft an eBPF program that ov

HTTPX2 is a next generation HTTP client for Python. From 2.5.0 until 2.10.0, the HTTPX2 Server-Sent Events parser in src/httpx2/httpx2/_sse.py repeatedly copies and rescans buffered text in _SSELineDecoder.decode() when an attacker-controlled or compromised SSE endpoint splits one unterminated line across many response chunks. The behavior affects httpx2.Client.sse() and httpx2.AsyncClient.sse(),

libjxl before 0.12 contains an integer underflow vulnerability in the container box parser that allows remote attackers to inject arbitrary metadata by exploiting 64-bit box size truncation to size_t on 32-bit platforms. Attackers can supply a crafted JPEG XL file causing the decoder to parse attacker-controlled codestream bytes as phantom box headers, enabling injection of arbitrary metadata (Exi

DSpace open source software is a repository application which provides durable access to digital resources. From versions 8.0-rc1 to before 8.4, versions 9.0-rc1 to before 9.3, and version 10-rc1, Remote Code Execution (RCE) is possible via Velocity Templates used by DSpace for COAR Notify/LDN messages. This issue has been patched in versions 8.4, 9.3, and 10.0.

DSpace open source software is a repository application which provides durable access to digital resources. From versions 8.0-rc1 to before 8.4, 9.0-rc1 to before 9.3, and 10-rc1 to before 10.0, a path traversal vulnerability is possible via the COAR Notify / LDN service in DSpace. The attacker MUST already have DSpace administrator credentials in order to perform the attack. When reading a file i

DSpace open source software is a repository application which provides durable access to digital resources. Prior to versions 7.6.7, 8.4, 9.3, and 10.0, the Curation Task feature allows an output path to be used by the reporter (-r parameter), typically used to stream results and status of curation task operations. It is not restricted to any particular base path, meaning that any path writable by

DSpace open source software is a repository application which provides durable access to digital resources. Prior to versions 7.6.7, 8.4, 9.3, and 10.0, when ingesting an aggregated ORE resource by URI (using the OAI-ORE Harvester), the ORE Ingestion Crosswalk does not validate the URI scheme. This may allow for local file inclusion via malicious paths like file:///etc/passwd. The attacker MUST al

agentverus-scanner fails to analyze compiled Python bytecode files in companion code directories, allowing attackers to bypass security scanning by shipping malicious __pycache__ entries alongside benign source files. Attackers can execute arbitrary Python bytecode on import while the scanner reports a CERTIFIED verdict with high trust scores in both static and semantic analysis modes.

claude-skill-antivirus fails to analyze executable files when scanning local skill directories, reading only SKILL.md while ignoring Python source, bytecode, and other artifacts in the scripts directory. Attackers can distribute skills with malicious code in non-manifest files that receive a SAFE verdict with 100/100 trust score despite containing unanalyzed executable payloads.

Tencent AI-Infra-Guard's skill-scan component excludes compiled Python bytecode files from analysis by hardcoding __pycache__ directories and .pyc/.pyo/.pyd extensions into skip lists across multiple scanning surfaces. Attackers can distribute skills with benign Python source files alongside malicious compiled bytecode that executes on import while the scanner reports a safe verdict, enabling code

Nuclio is a "Serverless" framework for Real-Time Events and Data Processing. Prior to version 1.16.4, the Nuclio controller builds a curl invocation string for each cron trigger and stores it as the args of a Kubernetes CronJob container (/bin/sh, -c, ). Two fields in the trigger specification flow into this string without adequate sanitization: event.headers keys and event.body. This issue has be

Nuclio is a "Serverless" framework for Real-Time Events and Data Processing. Prior to version 1.17.4, the fix for unauthenticated OS command injection in the nuclio dashboard on the local/Docker platform is incomplete. The fix added validateFunctionName for function names and common.Quote() for the named-resource shell command path, but the list-all resource path (triggered when no specific resour

Nuclio is a "Serverless" framework for Real-Time Events and Data Processing. Prior to version 1.17.4, on the Nuclio local Docker platform, the function namespace is interpolated—unvalidated—into a double-quoted docker ps --filter "label=nuclio.io/namespace=" command that is executed via the host shell (/bin/sh -c). Because the default auth kind is nop (unauthenticated), a remote attacker can injec

Nuclio is a "Serverless" framework for Real-Time Events and Data Processing. From version 1.6.19 to before version 1.17.2, Nuclio's Dashboard build pipeline does not sanitize the spec.build.tempDir field before using it to construct a shell command. When the Kaniko container builder is enabled, a user with function-create permission can inject shell metacharacters into this field and achieve arbit

Nuclio is a "Serverless" framework for Real-Time Events and Data Processing. Prior to version 1.16.5, Nuclio's Java runtime generates a build.gradle file during function builds using Go's text/template package. The template renders runtimeAttributes.repositories[] values with the {{ . }} action, which performs no escaping. An attacker can embed a closing brace (}) to break out of the repositories

Nuclio is a "Serverless" framework for Real-Time Events and Data Processing. Prior to version 1.16.5, Nuclio Dashboard exposes POST /api/functions without authentication by default (NOP auth mode). The spec.handler field (e.g., mymodule:myfunction) is parsed by functionconfig.ParseHandler() which splits on : only — no path validation is applied to the module portion. This issue has been patched in

TOON is a compact, human-readable serialization of JSON data for LLM prompts. Prior to 2.3.1, decoding attacker-controlled TOON with a __proto__, constructor, or prototype key wrote through the object prototype chain instead of creating an own property, polluting Object.prototype for the runtime. In packages/toon/src/decode/expand.ts, the expandPaths: 'safe' path and insertPathSafe function made d

Astro is a web framework for content-driven websites. Prior to 7.2.4, Astro stripped a configured non-root base path from request pathnames using a string-prefix check without verifying a path-segment boundary. With base "/app", a request to "/appX/admin" resolved internally to the protected "/admin" route while middleware observed "/appX/admin" in context.url.pathname. In applications that author

async-tar is a tar archive reading/writing library for async Rust. Prior to version 0.6.1, async-tar mis-applies a buffered PAX size extension to an intermediary extension header (a GNU longname L, a GNU longlink K, or a PAX x/g header) instead of to the next file entry. POSIX requires a PAX extended-header record set to describe the next file entry, never an intervening extension header. Because

Craft CMS GraphQL entry mutation resolvers (saveEntry, deleteEntry) read siteIddirectly from$argumentswithout passing throughArgumentManagerprepareArguments(), which is the function that enforces site-scope filtering via array_intersect against the GraphQL schema’s allowed sites. The query path (ElementResolverprepareElementQuery) correctly calls prepareArguments()`, so queries to unauthorized sit

Craft CMS GraphQL entry mutation resolvers (saveEntry, deleteEntry) read siteIddirectly from$argumentswithout passing throughArgumentManagerprepareArguments(), which is the function that enforces site-scope filtering via array_intersect against the GraphQL schema’s allowed sites. The query path (ElementResolverprepareElementQuery) correctly calls prepareArguments()`, so queries to unauthorized sit

The vulnerability allows any authenticated user to change their own password without providing the current password or having an active elevated session. It also allows the attacker to change other users’ passwords if the attacker’s account has Edit users permission (which doesn’t allow changing others’ passwords) and lacks Administrate users permission (which is required to change others’ passwor

Authentication Bypass Using an Alternate Path or Channel vulnerability in Drupal Disable Login Page allows Functionality Bypass. This issue affects Disable Login Page versions: from 0.0.0 to 1.1.4.

Incorrect Authorization vulnerability in Drupal Commerce PayPal allows Forceful Browsing. This issue affects Commerce PayPal versions: from 0.0.0 to 1.12.0, from 2.0.0 to 2.1.3.

Incorrect Authorization vulnerability in Drupal Diff allows Forceful Browsing. This issue affects Diff versions: from 0.0.0 to 2.0.1, from 2.1.0 to 2.1.1.

Server-Side Request Forgery (SSRF) vulnerability in Drupal Entity Share Websub allows Server Side Request Forgery. This issue affects Entity Share Websub versions: from 0.0.0 to 1.1.2.

Improper Handling of Case Sensitivity vulnerability in Drupal External Authentication allows Privilege Escalation. This issue affects External Authentication versions: from 0.0.0 to 2.0.13.

Incorrect Authorization vulnerability in Drupal Quick Tabs allows Forceful Browsing. This issue affects Quick Tabs versions: from 0.0.0 to 4.3.1.

Improper Neutralization of Input During Web Page Generation ("Cross-site Scripting") vulnerability in Drupal Address Suggestion allows Cross-Site Scripting (XSS). This issue affects Address Suggestion versions: from 0.0.0 to 1.0.25.

Incorrect Authorization vulnerability in Drupal Blazy allows Forceful Browsing. This issue affects Blazy versions: from 0.0.0 to 3.0.18.

Authentication Bypass Using an Alternate Path or Channel vulnerability in Drupal CAPTCHA Protected Page allows Functionality Bypass. This issue affects CAPTCHA Protected Page versions: from 0.0.0 to 1.0.2.

Missing Authorization vulnerability in Drupal Data field allows Forceful Browsing. This issue affects Data field versions: from 0.0.0 to 2.0.13.

Missing Authorization vulnerability in Drupal Digital Signage Framework allows Forceful Browsing. This issue affects Digital Signage Framework versions: from 0.0.0 to 2.6.1.

Insertion of Sensitive Information Into Sent Data vulnerability in Drupal DXPR Builder: The Best Editing (AI) Experience for Drupal allows Forceful Browsing. This issue affects DXPR Builder: The Best Editing (AI) Experience for Drupal versions: from 0.0.0 to 2.8.1.