### Summary The OpenChoreo control-plane cluster-gateway exposes internal management APIs (`/api/proxy/`, `/api/exec/`, `/api/wirelogs/`) that tunnel requests through to connected data planes' Kubernetes APIs, but the internal listener authenticates no caller. Its request validator permits mutating HTTP methods and reads of Secrets in tenant namespaces (only kube-system Secrets are blocked), so a

根据知道创宇/Seebug的漏洞库信息，Ivanti Endpoint Manager Mobile（EPMM）存在代码注入漏洞。该组件是Ivanti推出的移动设备管理（MDM）解决方案，用于企业统一管理手机、平板等移动终端，包括设备注册、策略下发、应用管理等。公告仅提及'代码注入漏洞'，但未提供具体的漏洞成因、触发条件、攻击路径或影响范围等细节，也未披露受影响的产品版本号或CVE编号。由于信息有限，当前只能确认该产品存在一个可能被攻击者利用的代码注入风险点。若漏洞被利用，攻击者可能通过注入恶意代码来干扰应用程序的正常逻辑，或在特定上下文中执行非预期操作，进而影响设备管理功能的完整性和机密性。但鉴于缺少公开的技术细节与官方确认，无法进一步判断实际利用难度或危害程度。建议相关用户立即关注Ivanti官方安全公告及Seebug漏洞库的后续更新，以获取补丁信息或临时缓解措施。

**CVE:** This vulnerability corresponds to [CVE-2026-72793](https://nvd.nist.gov/vuln/detail/CVE-2026-72793). ### Summary `/api/system/getConf` is registered with `CheckAuth` only and is reachable by the publish `RoleReader` token, and anonymously when `Publish.Auth.Enable` is `false`. Its non-administrator masking chain is a blocklist that enumerates fields individually. Three fields that the c

**CVE:** This vulnerability corresponds to [CVE-2026-72794](https://nvd.nist.gov/vuln/detail/CVE-2026-72794). ### Summary `/api/system/getConf` returns `Conf.CookieKey`, the key used to sign the server's session cookies in its response body. The endpoint is registered with `CheckAuth` only, so the field reaches the publish `RoleReader` token and the anonymous account when `Publish.Auth.Enable` i

An authenticated user scoped to one namespace/database could invoke a custom API (`DEFINE API`) belonging to a different namespace/database, reaching another tenant's endpoint. The route `/api/{namespace}/{database}/{endpoint}` took the namespace and database from the URL and applied them to the caller's session before the endpoint was looked up or run, without checking that the caller's authenti

这篇文章由微软安全博客发布，针对AI向客户自有环境及边缘设备下沉的趋势，提出了系统化的安全建议。主体观点认为，在客户拥有且可物理接触的硬件环境中部署Edge AI时，传统云端信任边界已不适用，需要在保护敏感数据、凭据和模型之前，先对底层的系统、软件和AI资产进行可信验证。文章内容很可能涉及基于硬件信任根和远程证明所构建的信任链，用于验证主机固件、操作系统、容器、微服务以及模型文件的完整性；同时建议通过模型签名、模型来源追踪、差分检测等方式来防范AI资产在实际运行环境中被篡改或替换。文章还强调在数据流入模型前应通过API鉴权、加密、脱敏或端侧策略隔离敏感数据与凭据，并对边缘节点施行基于零信任的访问控制与持续监视，将安全事件响应能力延伸至无人值守的远端。而且需要针对边缘AI设计不可变日志、异常行为和模型输出对比等功能，以应对物理侧信道和供应链定向攻击。原文并未披露具体漏洞名称、恶意软件家族或威胁组织，也未附上IOC，更多属于基础设施架构与信任模型建设指导。本文总结仅基于文章公开摘要，未能覆盖全部细节，但可帮助安全团队把握方向。

### Maintainer resolution The CodeWhale maintainers validated this report. The affected package ranges are recorded in the advisory metadata. Version 0.8.64 contains the fix in commit 9a34b5034d29f05d1f28fa61b04719ca6a741020. Users should upgrade to 0.8.64 or later. The original reporter analysis is preserved below. # Argument Injection in `git_show` Tool Allows Arbitrary File Write Without Appr

随着BGP路由源验证（ROV）的部署逐渐普及，经典的prefix和subprefix劫持攻击的有效性显著下降。但攻防博弈并未结束，攻击者开始转向新的攻击手段，如伪造源（forged-origin）劫持。针对这一形势，本文系统性研究了ROV之后的防御机制，特别是自治系统提供者授权（ASPA）协议。作者首先利用真实的ROV采用数据，通过模拟评估了当前安全态势，发现前缀劫持的效果已不如伪造源劫持，且子前缀劫持的有效性大幅降低。进而预测攻击者将转向伪造源及更新型的post-ROV攻击，并原创性地提出了一种名为'首个ASN剥离'（first-ASN-stripping）的强有力攻击方法。在此基础上，作者对包括ASPA、BGPsec、Path-End、OTC、EdgeFilter在内的多种防御方案进行了大规模仿真对比。结果显示，ASPA即使在部分部署场景下也能有效抵御post-ROV攻击，其防护效果显著优于仅使用ROV、BGPsec或其它方案；BGP-iSec虽然防护更强但依赖公钥操作。作者还提出ASPAWN扩展，进一步提升ASPA性能。尤为重要的是，与之前的研究结论不同，即使tier-1运营商未部署ASPA，ASPA依然能发挥防护作用，因此鼓励边缘和中层网络部署。此外，针对意外的路由泄漏，轻量级标准化机制OTC与ASPA效果相当。该研究为后ROV时代的BGP安全演进提供了数据支撑和方向性建议，对于路由安全研究人员、网络运营商及政策制定者具有重要参考价值。

该论文研究自动驾驶系统中 LiDAR 感知面临的对抗性攻击问题。LiDAR 感知依赖深度神经网络，而 DNN 已被证明易受对抗样本影响。已有针对 LiDAR 的攻击在真实场景中普遍存在可行性、灵活性和隐蔽性不足。作者提出一种新型攻击框架，攻击者可在物理空间中确定少量对抗位置，并在这些位置放置具有反射表面的任意物体（如商用无人机携带的反射材料），即可误导 LiDAR 感知模型。该方法不需精确控制物体形状或攻击者位于特定视角，仅利用反射表面对激光雷达点云产生干扰，具有高灵活性和隐蔽性。实验表明该攻击成功率达 90% 以上；真实世界测试使用两架商用无人机即可轻松实施。据作者所述，这是首次研究对抗位置对 LiDAR 感知模型行为的影响，首次利用任意反射表面物体攻击 LiDAR 感知，也是首次使用商用无人机在物理世界实施此类攻击。论文还讨论了潜在防御策略，如点云异常检测、反射特征过滤等。该研究属于对抗机器学习与自动驾驶安全的前沿方向，适合自动驾驶系统安全研究员、蓝队安全工程师以及 LiDAR 感知系统开发者阅读，以了解物理世界攻击面与防御需求。

本文对针对 NAT（网络地址转换）网络的远程拒绝服务（DoS）攻击进行了系统的实证研究，简称 ReDAN（Remote DoS Attacks targeting NAT）。研究核心发现是：位于互联网上的外部攻击者，即使不在目标 NAT 网络内部，也能够远程识别 NAT 设备，并进一步切断由该 NAT 设备发起的、指向外部服务器的 TCP 连接。攻击分为两个阶段：第一阶段，作者利用 NAT 规范中路径 MTU 发现（PMTUD）机制的缺陷，形成一种基础侧信道，使攻击者能够区分某个公网 IPv4 地址背后是一台 NAT 设备还是一个普通 IP 主机，从而定位目标 NAT 设备；第二阶段，攻击者向已识别的 NAT 设备发动远程 DoS 攻击，通过发送精心构造的数据包，欺骗 NAT 设备删除正常的 TCP 连接映射，导致 NAT 内部客户端无法访问外部 TCP 服务。作者指出，尽管近期一些 NAT 实现加入了数据包合法性校验等保护措施以防止恶意操纵映射，但实测表明这些防护在真实世界中并未广泛部署。实验覆盖了 8 种路由器固件和来自 14 个厂商的 30 款商业 NAT 设备，结果发现其中 6 种固件和 29 款设备存在可被离线（off-path）删除 TCP 映射的漏洞；而对真实世界网络的测量更加触目惊心：在 180 个被测 NAT 网络中，有 166 个（超过 92%）容易受到此类攻击，这些网络包括 90 个 4G LTE/5G 网络、60 个公共 Wi-Fi 网络和 30 个云 VPS 网络。作者已向受影响厂商负责任地披露了漏洞，并获得了大量确认。最后，文章还提出了针对此类 DoS 攻击的防御对策。该研究揭示了 NAT 设备在协议实现和实际部署中的系统性安全短板，对 NAT 设备厂商、网络管理员和安全研究人员具有重要参考价值。

本文研究移动广告网络中点击欺诈（click fraud）的一种新型变体，称之为“人形攻击”（humanoid attack）。点击欺诈利用按点击付费（pay-per-click）机制，通过自动化或伪造方式产生虚假点击，给广告主造成巨大经济损失。已有检测方案大多基于动态分析，通过统计点击流量或行为模式识别异常。但本文指出，人形攻击能够生成与正常点击高度相似的模式，从而规避基于模式匹配的现有检测机制。为应对这一挑战，作者提出了名为 ClickScanner 的检测工具，专门面向 Android 应用进行静态分析，并采用变分自编码器（VAE）构建仅基于良性样本训练的分类模型。该方法的设计动机在于：现实中恶意点击样本难以获取，因此采用无监督/单类学习思路。ClickScanner 首先通过静态分析在字节码层面提取关键特征，构建数据依赖图（DDG），然后基于新定义的特征向量描述应用内疑似人形攻击的行为模式。实验验证了该工具在检测准确性方面具有有效性，能够在不依赖已知攻击样本的前提下识别出人形攻击。本文的主要贡献包括：首次系统性地识别并命名“人形攻击”这一点击欺诈形态；提出字节码级特征与DDG相结合的特征提取方案；构建仅用良性数据训练的VAE检测模型；实现ClickScanner工具并在真实Android应用上验证可行性。适合移动安全、广告反欺诈、恶意应用检测领域的研究人员和蓝队工程师阅读，以了解新型点击欺诈的检测思路。

该论文研究商用黑盒语音平台（包括云语音 API 和语音控制设备）上的对抗性攻击。现有黑盒攻击通常依赖模型返回的概率分数或置信度信息来生成对抗样本，但服务提供商可以通过不返回这些信息来防御。作者提出两种更贴近实际且条件更严格的攻击方法。针对云语音 API，提出 Occam，一种仅依赖最终决策（decision-only）的黑盒攻击。Occam 将对抗样本生成建模为不连续的大规模全局优化问题，并自适应地将其分解为多个子问题协同优化。实验表明，Occam 在 Google、Alibaba、Microsoft、Tencent、iFlytek、Jingdong 等广泛使用的语音和说话人识别 API 上达到 100% 的攻击成功率（SRoA），平均信噪比（SNR）为 14.23 dB，优于现有最优黑盒攻击。针对语音控制设备，提出 NI-Occam，这是首个非交互式物理对抗攻击，攻击者无需查询目标设备，也无需获取其内部信息或训练数据。作者首次将对抗攻击与模型反演攻击相结合，生成具有高迁移性的物理有效音频对抗样本，实现对目标设备的零交互攻击。实验显示，NI-Occam 能成功欺骗 Apple Siri、Microsoft Cortana、Google Assistant、iFlytek 和 Amazon Echo，平均 SRoA 为 52%，SNR 为 9.65 dB，揭示了对语音控制设备进行非交互式物理攻击的可行性。核心贡献在于降低了攻击所需的先验知识，扩展了对抗攻击的适用场景，同时提醒防御者仅隐藏概率分数不足以抵御攻击。适合关注语音安全、对抗机器学习、物理世界攻击的研究人员阅读。

该论文在 NDSS 2025 被接收，但引发了激烈争议。论文题为《Wallbleed: A Memory Disclosure Vulnerability in the Great Firewall of China》，从标题看，它报告了中国防火长城（GFW）中的一个内存泄露漏洞，可导致敏感信息泄露。根据评审委员会的声明，论文的技术贡献在于确认了此前无法直接复现的研究结果，并有助于推动未来的反审查研究。然而，论文的实验方法引发了严重的伦理质疑：NDSS 2025 的评审过程不仅经过常规的 PC 评审，还启动了额外的审查，包括道德审查委员会、指导委员会和 ISOC 的介入。尽管在数据聚合和删除后认为伦理歧义已得到缓解，但委员会指出，作者获得的机构 IRB 豁免决定存在明显的人类风险，不应被盲目接受，安全领域的研究者有义务质疑此类决定。此外，委员会认为自己无法对该工作的法律影响做出判断，并承认在评审过程中对研究的收益是否大于风险存在分歧。该论文的接收不代表 PC 认可其方法论，而是希望借此帮助社区理解研究可能带来的影响，建立更好的机制来处理类似案例，并推动制定关于何时以及如何进行此类攻击性研究的公认标准。由于本人仅获得论文摘要（实为 PC 声明），无法获取具体技术架构和实验细节。该文适用于研究反审查技术、网络测量以及安全研究伦理的学者和从业者。

Citrix NetScaler 内存泄漏(CVE-2025-5777)

CrowdStrike于2026年9月6日发布公告，宣布推出面向AI代理的“连续身份”（Continuous Identity）能力。该功能是CrowdStrike身份安全产品线的扩展，旨在为AI代理（包括智能体、自动化工作流等非人类实体）提供持续的身份验证、授权与访问控制。随着企业越来越多地部署AI代理来处理敏感操作，这些代理可能成为攻击者的目标，例如通过身份欺骗、权限提升或滥用合法凭证。CrowdStrike此次发布将身份安全边界从人类用户延伸至机器人和AI工作负载，强调在AI代理的整个生命周期中动态评估其信任状态，并与EDR/XDR联动以检测异常行为。公告未提及具体CVE、攻击指标（IOC）或威胁组织，也未披露攻击链细节。该信息属于产品功能发布，而非实际攻击事件的报告，但反映了云安全与身份安全领域对AI代理安全风险日益增长的关注。

### Summary `@typespec/spector` registers a `POST /.admin/stop` HTTP route with no authentication, authorization token, Origin check, or IP-source restriction. Any network-reachable client can send a single unauthenticated POST request to terminate the mock server process. Because the server binds to `0.0.0.0` by default (all interfaces), this endpoint is exposed to any host that can reach the se

该论文提出 CodePoisonRAG，一种针对检索增强代码生成（RACG）系统的上游知识投毒攻击框架。RACG 通过检索外部代码、文档和补丁并融入生成上下文来提升 LLM 的代码生成能力，但这种对外部知识的依赖引入了新的信任边界：攻击者可篡改知识库中的条目，在不修改底层模型的前提下影响生成结果。既有研究仅表明选择已有脆弱样例可提高 RACG 输出的总体漏洞率，但未验证黑盒攻击者能否构造单个与任务匹配的恶意知识条目来传播其选定的弱点。CodePoisonRAG 填补了这一空白。攻击链组合了两种技术：一是 CWE 特定漏洞注入（Vulnerability Injection），将选定的 source-to-sink 数据流嵌入良性修复代码同时保持任务语义对齐；二是语义错误标记（Semantic Mislabeling），为脆弱代码添加虚假的“安全”声明而不修复其真实缺陷。攻击者无法访问受害者的知识库、检索器、重排序器、生成器、提示词或防御机制，且针对每个预期的编程任务最多注入一个恶意条目。作者构建了 85 个投毒条目，覆盖 Java 和 C 语言中的十类 CWE，整体语料投毒比例仅为 0.7%。实验表明，在三个生成器上，全部 85 个恶意条目均能进入对应查询的 Top-3 结果，攻击成功率在 0.80 至 0.93 之间。针对可向生成上下文注入漏洞特定安全知识的防御机制 CodeGuarder，该攻击仍能保持 0.40 至 0.71 的成功率。实验证明 RACG 投毒不仅会偶然传播已有漏洞，还能针对性地构造并传播攻击者选择的弱点。该论文适合 LLM 安全研究人员、代码生成系统开发者及供应链安全工程师阅读，其核心贡献是揭示了 RACG 管线的上游投毒风险，并为后续检测与防御研究提供了攻击建模基础。

CDT before 1.4.5 contains an out-of-bounds read vulnerability in the opposedVertexInd() function when constraint edge intersections are computed in floating point and round outside adjacent triangles. Attackers can supply nearly-degenerate constraint edges through geometry data to trigger an out-of-bounds array access that crashes the calling process.

本论文聚焦于分布式基础设施（如建筑、水坝、太阳能电站等）所依赖的互联网连接远程管理设备，指出这类设备由于不暴露 Modbus、BACnet 等 ICS 特定服务，不会出现在常规互联网范围扫描的结果中，因此以往针对工业控制系统（ICS）的安全研究长期忽视了它们。作者提出一种通过 Web User Interface (WebUI) 特征来发现这类设备的可行方法，并在日本境内探测到 890 台远程管理设备。进一步分析发现，大量设备存在严重安全隐患：部分允许未授权用户直接读取系统状态，甚至可能操控工业系统。针对三种最流行的远程管理设备进行深入逆向，作者发现 13 个 0-day 漏洞，其中多个被评为中危或高危，目前已向厂商负责任披露。为了解实际攻击态势，作者部署了模拟这些设备真实交互界面的蜜罐系统，结果显示：随时间推移，虽然只有少量攻击者能够进入，但进入者中确有某些会尝试修改关键参数；同时，WebUI 上展示的设施信息越多，攻击者的交互行为就越活跃。最后，作者通过电子邮件和电话通知了 317 台易受害设备对应的运营方，成功联系到 212 名负责人；其中 50% 确认会缓解或已经缓解问题。后续扫描结果验证了通知的有效性：在能够联系到负责人的设备中，58% 确实已采取补救措施。综上，该研究首次系统性地测绘并警告远程管理设备这一被忽略的 ICS 攻击面，对设备发现方法论、漏洞披露流程及通知与缓解效果评估均有重要贡献。适合 ICS 安全研究员、设备制造商、工业设施运营方的安全团队阅读。

Load Value Injection (LVI) 是一种结合了 Meltdown 类数据流与 Spectre 式混淆副手攻击的新型微架构侧信道攻击，曾展示出对 Intel SGX 飞地（enclave）的实用攻击能力。为缓解 LVI，业界曾部署了多种防御，但性能开销高达 2 至 19 倍。本文作者发现，即使在修复了 LVI 的硬件（LVI-fixed）上，LVI-NULL 泄漏依然存在，因此要在这类 CPU 上安全运行 SGX 飞地，先前那些昂贵的缓解措施仍然必不可少。针对该问题，作者提出了一种轻量级缓解方案 LVI-NULLify。首先，作者对 LVI-NULL 的各种变体进行了系统性分析与分类，指出现有面向 LVI-NULL 的缓解建议实际上并不有效。随后，LVI-NULLify 重新利用了 x86 在每次内存访问中已采用的快速传统硬件机制——分段（segmentation），将其转用于封锁可被 LVI-NULL 利用的内存位置，从而使飞地本身能够控制这些高风险地址。具体实现包含修改后的 SGX-SDK 和编译器扩展。作者在 LVI 修复版的 Comet Lake CPU 上进行了评估，最坏情况下性能开销低于 10%，而之前防御体系在最坏情况下的开销高达 1220%（约 13 倍）。实验证明 LVI-NULLify 是一种实用且高效的解决方案，可在当前硬件上有效保护 SGX 飞地免受 LVI-NULL 影响。该研究不仅揭示了硬件修复的盲区，也提供了一项可直接部署的低开销加固技术，对依赖 SGX 的可信执行环境、多租户云场景以及安全研究均有重要参考价值。

PLANET VDR-300NU ADSL Router - 未授权修改DNS

Acknowledgements

AVideo with YPTSocket plugin enabled contains a cross-site scripting vulnerability allowing unauthenticated attackers to execute arbitrary JavaScript in other users' browsers via the websocket callback mechanism. Attackers can send crafted socket messages with callback names resolving to global functions like avideoConfirmHTML that accept untrusted data and assign it to innerHTML, achieving script

ugrep before 7.6.0 contains a heap buffer over-read vulnerability in the LZW decompressor when processing crafted .Z archive files. Attackers can supply malformed .Z files that cause the decompressor to read one byte past the allocated heap buffer, potentially crashing the process.

MindsDB through 26.1.0 contains a server-side request forgery vulnerability in the web crawler handler that allows unauthenticated attackers to fetch arbitrary URLs by supplying caller-controlled URLs to CrawlerTable.list. Attackers can bypass the allowlist control by exploiting the default empty configuration and access internal services and cloud metadata endpoints without authentication.

Rowboat through 0.9.1 fails to validate custom MCP server and webhook URLs, allowing authenticated users to configure arbitrary destinations. Attackers can point these URLs at internal services and cloud metadata endpoints to perform server-side request forgery and enumerate internal network topology.

Webstudio through 0.296.0 contains an unauthenticated server-side request forgery vulnerability in the /cgi/image, /cgi/video, and /cgi/asset proxy routes when RESIZE_ORIGIN environment variable is unset. Attackers can supply arbitrary URLs to these endpoints to read cloud instance metadata, access internal services, and perform network reconnaissance on the instance infrastructure.

RouterOS SSH enters the connection protocol after a client-requested rekey even though user authentication was never attempted, allowing an unauthenticated client to open a session channel and send an exec request. On affected builds the server dispatches the command, enabling unauthenticated creation, overwrite, and reconstruction of files in the RouterOS managed file namespace, including support

RouterOS WebFig contains an unauthenticated file-read vulnerability in the /jsproxy path where a newly allocated session retains a stale uninitialized principal pointer used for file authorization. An unauthenticated attacker can prepare the allocator so that the file-serving path dereferences this pointer with sufficient rights, then supply parent-directory components in an encrypted URI to escap

MikroTik RouterOS accepts malformed RSA/PKCS#1 v1.5 signatures during X.509 validation. Because its trust store includes an e=3 root CA, an attacker controlling or redirecting an outbound RouterOS TLS connection can use the root’s public certificate - without its private key - to forge a trusted intermediate and issue certificates for arbitrary hostnames, enabling TLS server impersonation. This i

RouterOS contains an argument-handling flaw in the SSH login path involving usernames that begin with a prohibited character, allowing for the trusted RouterOS policy mask to be changed, leading to privilege escalation. Exploitation requires an unauthenticated SSH session to reach the RouterOS login helper.This issue was fixed in versions: 6.49.21 (Long-term), 7.23.4 (Long-term) and 7.24.2 (Stable

RouterOS does not compare the complete RSA public key when matching an SSH authentication request to an authorized user key, checking the key type and modulus but omitting the exponent. Because signature verification uses the client-supplied key, an attacker knowing an authorized RSA modulus can supply a key with exponent one, forge a valid signature, and open an SSH command channel as the target

RouterOS accepts a "related" btest connection before the corresponding primary session has completed authentication. An unauthenticated client can use this state to start an IPv4 UDP test. With "random-data=false", the sender transmits an uninitialized tail from a kernel packet buffer. A separate unchecked, inverted packet-size interval causes unsigned integer underflow, anomalously large fragment

CDT before 1.4.5 contains an out-of-bounds read vulnerability in the opposedVertexInd() function when constraint edge intersections are computed in floating point and round outside adjacent triangles. Attackers can supply nearly-degenerate constraint edges through geometry data to trigger an out-of-bounds array access that crashes the calling process.

## Summary When the vLLM API receives a malformed request (e.g., invalid JSON or missing required fields), FastAPI raises a Pydantic `RequestValidationError`. The `validation_exception_handler` in `vllm/entrypoints/openai/server_utils.py` converts this exception to a string via `str(exc)`, which includes the internal file path and line number of the handler function. The existing `sanitize_messag

## Summary The `/v1/completions/derender` and `/v1/chat/completions/derender` endpoints accept caller-supplied `GenerateResponse` objects and postprocess every nested `choices[*].token_ids` list directly. Unlike the normal render/generate path, derender does not enforce model context length, resolved `max_tokens`, `max_num_seqs`, choice-count, or response-size bounds before detokenizing and retur

**CVE:** This vulnerability corresponds to [CVE-2026-72792](https://nvd.nist.gov/vuln/detail/CVE-2026-72792). ### Summary `/api/tag/getTag` filters its results for reader roles through `FilterTagsByPublishIgnore`, which checks only the *visible* publish tier. Documents that are published but password-protected pass that check, so a reader who has never entered a document's publish password recei

**CVE:** This vulnerability corresponds to [CVE-2026-72795](https://nvd.nist.gov/vuln/detail/CVE-2026-72795). ### Summary `/api/block/getBlockDOMWithEmbed` and `/api/block/getBlockDOMsWithEmbed` gate only the *requested* block against publish access. The blocks pulled in by that block's embed (transclusion) query are inlined into the returned DOM with no publish-access check at all, so a reader

**CVE:** This vulnerability corresponds to [CVE-2026-72797](https://nvd.nist.gov/vuln/detail/CVE-2026-72797). ### Summary `POST /api/notebook/getEncryptedNotebookStatus` returns the identifier, name, and current lock state of every encrypted notebook, with no publish-access filtering. The route is registered `CheckAuth` only, no `CheckReadonly`, no `CheckAdminRole` so it is reachable by the publ

**CVE:** This vulnerability corresponds to [CVE-2026-72799](https://nvd.nist.gov/vuln/detail/CVE-2026-72799). ### Summary Five filetree endpoints resolve arbitrary document IDs and paths with no publish-access check of any kind. All are `CheckAuth`-only, so they are reachable by the publish `RoleReader` token and by the anonymous account when `Publish.Auth.Enable` is `false`. An anonymous reader

A `PERMISSIONS ... WHERE` clause is evaluated with permission enforcement disabled, so it can't recurse into its own checks. But the clause could also contain data-modifying statements, and these ran with enforcement still off — so evaluating a permission check could write to tables the caller cannot write. For example: ```surql DEFINE TABLE post PERMISSIONS FOR update WHERE (CREATE log SET

BrakTooth是新加坡科技设计大学等机构的研究者针对蓝牙经典(BR/EDR)协议栈中Link Manager(LM)层开发的一种定向模糊测试框架。蓝牙无线协议应用广泛，但底层协议栈常由厂商自行实现，复杂度高，导致安全测试覆盖严重不足，尤其是设备固件中的低层处理逻辑。传统模糊测试方法难以触及深层协议状态，且难以同步精准的时序控制。该研究首先通过逆向分析多款主流蓝牙芯片的LM状态机，建立协议状态模型，并利用以软件无线电(SDR)为核心的发射装置，在精确控制时序的同时，生成大量符合蓝牙规范但内容非法的LMP数据报文，从而定向探测目标设备固件中可能存在的内存越界、空指针解引用、逻辑错误等缺陷。该框架在真实硬件上发现了超过20个零日漏洞，涉及多款常见蓝牙SoC和模块，涵盖智能音箱、智能手机、笔记本电脑等各类设备。这些漏洞可导致被攻击设备死机、蓝牙协议栈崩溃，甚至在部分设备上可触发可控的远程代码执行。研究团队将相关漏洞通报给多家CERT和厂商，并协助完成修补工作。其主要贡献在于：提出了一个面向复杂协议栈、可扩展的定向模糊测试方法论；证明了Link Manager层是蓝牙攻击面的薄弱环节；并构建了可复现的实验验证体系。该研究不仅披露了大量实际漏洞，更重要的是向工业界展示了通过系统化协议状态感知、消息校验和定向变异，能够高效挖掘出蓝牙基带及固件中的深层安全缺陷。对于硬件安全、无线协议安全的研究人员，以及蓝牙芯片厂商的固件与IC设计工程师而言，该论文具有重要的参考价值。

该论文基于对 OSSFuzz 平台生成的所有模糊测试（fuzzing）漏洞报告的实证研究，发现约 77%（23k 个漏洞中的 4/5）是由最近的代码变更引入的回归缺陷（regression bugs）。新项目在初始阶段每天会出现 2-3 个新漏洞报告，但清除存量缺陷后，每周仍有 3-4 个报告，这一恒定速率只能由不断上升的回归引入率来解释——首个漏洞是回归的概率为 20%，而在数百个报告后升至 92%。为此，作者提出回归灰盒模糊测试（Regression Greybox Fuzzing, RGF），将模糊测试资源优先分配给更近期或更频繁变更的代码。由于对每个提交单独进行充分模糊测试不现实，RGF 同时对所有提交进行模糊测试，但赋予出现在更多（更近）提交中的代码更高优先级。论文还观察到大多数代码从未被修改且相对陈旧，因此设计了增强代码兴趣信号的方法，并将能量调度（power schedule）概念扩展到种子的字节级别，利用蚁群优化（Ant Colony Optimization）为更有可能生成有趣输入的字节分配更多能量。作者在 Fuzzbench 平台上进行了大规模可复现实验，涉及 3 个以上 CPU 年的模糊测试运行，并在 OSSFuzz 上的 15 个开源 C 程序中发现了 20 个缺陷，验证了假设与 RGF 的有效性。适合软件安全研究人员、模糊测试工具开发者及负责持续集成/持续交付（CI/CD）的安全工程团队阅读。

随着基于大语言模型（LLM）的智能代理（Agent）逐步渗透网络应用，视觉验证码正面临一种新的机械化威胁。以往专用检测器很慢或只处理固定类别，而视觉语言模型（VLM）能类人地看图识字，但每轮都从零开始推理，并不会从接触中积累经验。本论文提出一种可在每次交互中持续学习的验证码求解器架构：它由一个微调的 YOLOv8 快速检测器与一个开放权重 VLM 组成，通过置信度路由器协作，输入仅依赖截图与操作系统输入事件，不接入浏览器自动化或 DOM。在 16 类真实视觉验证码上，该系统获得了 85.4% 的整体准确率与 84.2% 的平均宏准确率，显著优于单独使用任一组件。其核心机制是“自我标注回环”——VLM 对每一个问题生成的答案都自动作为新的训练标签回流给检测器，使检测器逐步学习它原本没有训练过的类别，通常仅需遇到一两次，且无需人工标注。该回环还具备自修复能力：当 CAPTCHA 运营者能针对公开的检测器权重施加对抗扰动，并使其单独准确率降至 0% 时，VLM 的语义标签仍不受扰动影响，检测器借这些标签可快速恢复。论文用一个为期一年的对抗博弈模拟指出，即使运营方每月更换新的抗破解扰动，自适应求解器每一轮都能恢复；用约 70% 准确率的廉价开源 VLM 作为教师，也能达到接近完美 oracle 的强化效果。这个结果打破了“验证码一旦被绕过就会长期难以回归”的传统认知，提醒安全社区：仅仅依靠静态题库或局部对抗补丁不足以对抗能自我进步的机器智能。该研究对 CAPTCHA 服务设计者、风控团队与 AI 安全研究者均有重要参考价值。

Firefox browsers

Sign in to Cloud

Sign Up for Free Cloud Tier

iOS 26.4.2 and iPadOS 26.4.2

iOS 18.7.8 and iPadOS 18.7.8

iOS 18.7.7 and iPadOS 18.7.7

iOS 26.4 and iPadOS 26.4

Background Security Improvements for iOS, iPadOS, and macOS

iOS 16.7.15 and iPadOS 16.7.15

iOS 15.8.7 and iPadOS 15.8.7

iOS 26.3 and iPadOS 26.3

iOS 18.7.5 and iPadOS 18.7.5

iOS 26.2 and iPadOS 26.2

iOS 18.7.3 and iPadOS 18.7.3

Compressor 4.11.1

Android Code Search

Android Devices

Secure an Android device

Android 16 QPR2

Mobile network security

iOS 26.5 and iPadOS 26.5

iOS 18.7.9 and iPadOS 18.7.9

iOS 16.7.16 and iPadOS 16.7.16

iOS 15.8.8 and iPadOS 15.8.8

MFSA 2026-56Security Vulnerabilities fixed in Firefox for iOS 152.0

iOS 26.5.2 and iPadOS 26.5.2

MFSA 2026-65Security Vulnerabilities fixed in Firefox for iOS 152.3

MFSA 2026-66Security Vulnerabilities fixed in Firefox for iOS 152.4

iOS 26.6 and iPadOS 26.6

MFSA 2026-73Security Vulnerabilities fixed in Firefox for Android 153.0.3

iOS 26.6.1 and iPadOS 26.6.1

iOS 18.7.10 and iPadOS 18.7.10

【大模型服务平台 TokenHub】&【智能体开发平台 ADP】& 【云开发 CloudBase】 关于腾讯云 DeepSeek-V4-Flash (Model ID：deepseek-v4-flash) 模型下线及切换升级的通知

MFSA 2026-81Security Vulnerabilities fixed in Firefox for iOS 155.0

Akamai 于其安全研究站点发布了产品页面，介绍了一款面向人工智能（AI）场景的防护产品——Firewall for AI。该产品旨在为 AI 应用、模型推理接口及配套基础设施提供边缘安全防护，重点应对针对 AI 服务的 DDoS（分布式拒绝服务）和僵尸网络攻击。当前，AI 模型通过 API 对外提供服务，容易遭受资源耗尽、超大请求泛洪等攻击，同时 AI 应用也可能被用于自动化攻击或成为被滥用的计算资源。Akamai 将防火墙能力扩展至 AI 工作负载，依托其全球分布式边缘网络执行流量清洗、速率限制和异常请求识别。页面还提及该方案能够结合已知攻击面与 AI 特有的流量模式实施防护。由于原文是产品介绍而非安全公告或研究报告，并未披露具体攻击案例、漏洞信息、攻击者组织或恶意软件家族，也没有给出 ATT&CK 技术编号。文章内容更多是阐述产品定位与防护思路，帮助用户了解如何针对 AI 基础设施部署边缘防火墙。对于安全团队而言，这一动态表明 AI 资产正逐渐成为网络攻击目标，企业需要将 AI 服务纳入整体安全防护范围。需要注意的是，页面中未提供任何攻击活动证据或技术细节，所有关于产品有效性的表述均来自厂商。

A flaw has been found in Tenda CP3 27.5.57.101. The impacted element is the function CAutoAddWifi::ThreadProc of the file Functions/AutoAddWifi.cpp of the component Kylin. Executing a manipulation can lead to os command injection. The attack may be launched remotely.

The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to Authentication Bypass to Account Takeover in all versions up to, and including, 3.29.12. This is due to the pre_update_value function lacking any capability or ownership check, and ActionPost::conditions_logic() short-circuiting its current_user_can('edit_post') authorization gate whenever the post ID is non-numeric — such as t

The HivePress Authentication plugin for WordPress is vulnerable to Authentication Bypass via the access_token parameter in all versions up to, and including, 1.1.4. This is due to the authenticate_user function's Facebook authenticator resolving third-party identity by forwarding the attacker-supplied access_token to the Facebook Graph API and trusting the returned email and ID verbatim, without p

A vulnerability has been found in Tenda CP3 27.5.57.101. This affects the function CRedirServer::SetRedirectEnable of the file Functions/Redirect.cpp. The manipulation leads to improper privilege management. Remote exploitation of the attack is possible.

The MemberDash plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 1.8.5 via the 'id' parameter due to missing validation on a user controlled key. This makes it possible for unauthenticated attackers to change the password of any WordPress user, including administrators, by supplying an arbitrary user ID during registration, and take over t

A weakness has been identified in Tenda CP3 27.5.57.101. This issue affects some unknown processing of the file Net/NetCheckPing.cpp. This manipulation of the argument interface_name/host causes os command injection. The attack can be initiated remotely.

A vulnerability was detected in Tenda CP3 27.5.57.101. The affected element is the function sub_2F77E8 of the file Apis/system.c of the component Network Configuration Management. Performing a manipulation results in os command injection. The attack may be initiated remotely.

A security flaw has been discovered in Tenda CP3 27.5.57.101. This vulnerability affects the function SystemAsh of the file Apis/system.c of the component Kylin. The manipulation of the argument AlarmVoiceURL results in os command injection. It is possible to launch the attack remotely.

WWBN AVideo contains a path traversal vulnerability in notify.ffmpeg.json.php that allows unauthenticated attackers to write files to arbitrary locations by supplying a caller-chosen path in the avideoRelativePath parameter. Attackers can replay any previously issued ciphertext as a notifyCode token, which is decrypted but never validated, to bypass authentication and write files to the applicatio

AVideo with YPTSocket plugin enabled contains a cross-site scripting vulnerability allowing unauthenticated attackers to execute arbitrary JavaScript in other users' browsers via the websocket callback mechanism. Attackers can send crafted socket messages with callback names resolving to global functions like avideoConfirmHTML that accept untrusted data and assign it to innerHTML, achieving script

WWBN AVideo contains a broken access control vulnerability in videoViewsInfo endpoints that returns complete user records including password hashes, recovery tokens, and live session identifiers to unauthenticated callers when a hash parameter is provided. Attackers can use the disclosed session identifier to hijack viewer sessions, including administrator accounts, and obtain sensitive personal d

The Mail Mint – Email Marketing, Newsletter, Email Automation & WooCommerce Emails plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 1.31.0 via deserialization of untrusted input in the 'handle_form_submission' function. This makes it possible for unauthenticated attackers to inject a PHP Object. The additional presence of a POP chain allows attackers

Lara Dashboard before 1.3.0 contains an authentication bypass vulnerability in the screenshot-login route that allows unauthenticated attackers to authenticate as any user by email when APP_ENV is not production. Attackers can request the GET /screenshot-login/{email} endpoint with a registered email address to receive a fully authenticated session, enabling access to user administration, settings

ugrep before 7.6.0 contains a heap buffer over-read vulnerability in the LZW decompressor when processing crafted .Z archive files. Attackers can supply malformed .Z files that cause the decompressor to read one byte past the allocated heap buffer, potentially crashing the process.

MindsDB through 26.1.0 contains a server-side request forgery vulnerability in the web crawler handler that allows unauthenticated attackers to fetch arbitrary URLs by supplying caller-controlled URLs to CrawlerTable.list. Attackers can bypass the allowlist control by exploiting the default empty configuration and access internal services and cloud metadata endpoints without authentication.

AutoAgent contains an unauthenticated remote code execution vulnerability in the TCP server that binds to all interfaces and executes attacker-supplied commands as root. Attackers can connect to the exposed communication port and execute arbitrary bash commands within the container, gaining access to bind-mounted host workspace directories.

Cua computer-server versions before 0.3.42 skip authentication when the CONTAINER_NAME environment variable is unset and bind to all interfaces by default, allowing unauthenticated attackers to execute arbitrary commands. Attackers can reach TCP port 8000 to run shell commands via the run_command endpoint, read and write arbitrary files through file operation endpoints, and access interactive PTY

Rowboat through 0.9.1 fails to validate custom MCP server and webhook URLs, allowing authenticated users to configure arbitrary destinations. Attackers can point these URLs at internal services and cloud metadata endpoints to perform server-side request forgery and enumerate internal network topology.

Webstudio through 0.296.0 contains an unauthenticated server-side request forgery vulnerability in the /cgi/image, /cgi/video, and /cgi/asset proxy routes when RESIZE_ORIGIN environment variable is unset. Attackers can supply arbitrary URLs to these endpoints to read cloud instance metadata, access internal services, and perform network reconnaissance on the instance infrastructure.

The Joli Table Of Contents WordPress plugin before 3.0.3 does not sanitise or escape a shortcode attribute value before outputting it inside an HTML element's attribute, allowing users with the Author role and above to inject arbitrary HTML attributes and JavaScript that execute in the browser of any user who views the post, including higher-privileged users such as administrators. This crosses a

The JCH Optimize WordPress plugin before 6.0.1 does not perform a capability check on one of its authenticated AJAX actions and lets the request choose which internal action runs, allowing any authenticated users such as Subscribers to import arbitrary JCH Optimize WordPress plugin before 6.0.1 settings and store a script that executes in the browser of any visitor or administrator viewing the sit

The VikWidgetsLoader WordPress plugin before 1.12.0 does not sanitise or escape a block attribute before outputting it inside an inline script, allowing users with the Contributor role to store arbitrary JavaScript that executes in the browser of any user viewing the affected post, including the administrator who reviews the pending submission.

The CatFolders Document Gallery & PDF Library WordPress plugin before 2.0.7 does not properly validate a block attribute before using it as an HTML tag name in its gallery output, allowing users with the Author role and above to inject arbitrary web scripts that execute in the browser of anyone who views the affected post.

The HT Menu WordPress plugin before 1.2.7 does not perform any capability or object-ownership check when saving navigation menu-item settings, and does not escape those stored settings when the menu is rendered, allowing users with minimal permissions such as Subscribers to store JavaScript that executes in the browser of any visitor, administrators included, who views the affected menu.

The Unlimited Elements For Elementor plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via 'formData[id]' Parameter in all versions up to, and including, 2.0.17 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing

The Post Grid and Gutenberg Blocks – ComboBlocks plugin for WordPress is vulnerable to Unauthenticated Hook Injection in versions 2.2.32 to 2.3.1 via several functions in the ~/includes/blocks/form-wrap/function.php file. This makes it possible for unauthenticated attackers to execute actions with hooks in WordPress, granted no other security controls are present in the function.

The King Addons for Elementor WordPress plugin before 51.1.77 does not escape a widget display-style setting before outputting it in an HTML attribute, allowing users with Contributor-level access and above to store JavaScript that executes in the browser of any visitor to the affected page, including logged-in administrators.

### Maintainer resolution The CodeWhale maintainers validated this report. The affected package ranges are recorded in the advisory metadata. Version 0.8.64 contains the fix in commit 57f3c89471e27ac4032d9791f6885e5d4408c381. Users should upgrade to 0.8.64 or later. The original reporter analysis is preserved below. ### Summary The `rlm_eval` tool runs an arbitrary Python string chosen by the mo

### Maintainer resolution The CodeWhale maintainers validated this report. The affected package ranges are recorded in the advisory metadata. Version 0.8.64 contains the fix in commit 26de44a8bd5051f8f944ea60b2c37ae1d2b7d25e. Users should upgrade to 0.8.64 or later. The original reporter analysis is preserved below. ### Summary js_execution exposes parent process environment to model-provided J

本文针对基于大语言模型（LLM）的多智能体系统（MAS）在跨组织协作场景下的安全问题，提出了一种隐私保护的拓扑引导安全机制。现有方法通常假设单一运营方可以汇总所有标注轨迹，在全局通信图上训练图神经网络（GNN）以定位高风险智能体并干预拓扑结构。然而在实际跨组织环境中，各参与方持有的数据包含私有提示词、工具输出和专有工作流，无法共享原始数据，且单一站点无法观测完整攻击分布。作者将隐私保护的MAS安全防护形式化为图联邦学习问题，并实现了FGLGuard框架：每个运营方仅使用自身带法官（judge）标注的剧情图，训练基于边特征的图注意力检测器，只上传模型更新而不共享原始图数据。该方法综合了针对非独立同分布（non-IID）客户端的近端局部目标、域平衡聚合、过拒约束下的阈值校准、带印证的上游评分，以及对被阻断回答的受控改写。实验表明，联邦协作并非可选项：现成模型在分布偏移下迁移失效（AUROC仅0.51），域内重训后也仅提升至0.70，因此可部署的防护必须适应各站点私有轨迹。在Agent-SafetyBench、R-Judge和AgentDojo三个基准上，联邦FGLGuard在不汇聚任何数据的前提下，超过了域内集中式训练的上限；无监督异常检测和仅本地训练的防护均失败。当在四个不同领域运营方之间进行联邦时，其AUROC与多域集中式训练仅差0.03，而任何单域防护在其他域上都会崩溃。在AgentDojo上，实时FGLGuard在近乎无防护的效用损失下，将攻击成功率降低了43%，且零API成本、能力损失可忽略。本文的核心贡献在于：首次将图联邦学习引入LLM多智能体系统安全，证明跨组织协作防护在不泄露私有数据前提下的可行性与有效性，并显著优于无联邦或局部训练方案。适合关注LLM智能体安全、隐私保护机器学习及分布式安全防护的研究人员和工程师阅读。

MoE（混合专家）是为扩展大语言模型而设计的架构，每个token仅激活少量专家模块，从而在计算量基本不变的情况下支持大规模参数增长。近年来的混合架构还引入共享专家以捕获有用的通用特征，进一步提升稳定性与泛化能力。MoE已被许多旗舰开源和商业模型采用，但在安全方面仍然脆弱。其关键问题在于，稀疏路由带来结构性脆弱性：模型的安全性取决于哪些专家被激活，而攻击者可以通过越狱提示、恶意微调，以及对安全关键神经元进行权重剪枝等手段，实际操纵这一路由选择过程。已有防御大多尝试加固路由模块，但路由过程本质上是非确定性的，一旦触发路径被操纵，仅靠路由层防御很容易失效。 本文作者首先从理论和实验上证明：共享专家是一个始终被激活的组件，内含少量安全关键神经元，能够克服稀疏激活路径带来的不确定性，可作为独立于路由器的安全锚点，从而加强模型整体的安全对齐。基于这一发现，他们提出SEAL——一种训练时的参数高效防御方法，产生一个附加到共享专家上的即插即用适配器；同时提出SEAL++变体，额外引入正交约束，在训练时保留模型原有安全子空间。在六个攻击场景下（涵盖有害提示、越狱、恶意微调三类对抗输入，以及是否叠加神经元剪枝），SEAL可将攻击成功率降低最高60%，而五个基准上的平均能力损失不超过1.4%，并且可与现有路由级防御方法无缝集成。论文为稳健的MoE安全对齐提供了新的设计方向，特别适合大模型安全研究者和引擎开发人员参考。

该论文提出 SENTINEL-RL，一种用于安全运营中心（SOC）的智能体架构，旨在克服大型语言模型（LLM）智能体在自主威胁分析中的两个核心局限：有限上下文窗口难以承载大规模认证图，以及自由文本生成无法保证推荐动作与网络拓扑的一致性。SENTINEL-RL 将拓扑推理与语义推理解耦：通过异构图表征编码器将实时认证子图压缩为固定维状态，使用近端策略优化（PPO）策略将状态映射为受限的调查动作集合，LLM 主体仅被限制为消费策略的推荐并生成分析师可读的叙述，且由评论员模型把关。作者在 LANL 综合多源网络安全事件数据集和印第安纳大学 Quartz HPC 集群上进行了实验，报告了四个主要结果：(i) 两阶段 CREATE 摄取模式可在单台 32 核节点上于 14.2 分钟加载包含 2400 万条边的认证子图，比经典 MERGE 管线快约 24 倍；(ii) 滑动窗口告警引擎在 50 次试验中可靠地在不超过 2.5 秒内触发 25 事件/10 秒阈值；(iii) PPO 经过 200 次迭代收敛，平均回合回报 8.74±0.31，在标记红队事件上的保持精度为 0.91，召回率为 0.87；(iv) 完整检测-调查-推荐-人工审批循环的中位数耗时为 6.3 秒。论文还贡献了可复用的工程模式（如热节点死锁规避）、可移植的 HPC 部署模式（锚点节点共置），并提供了涵盖误报经济学、可逆性保证、审计合规性和人工审批边界的企业就绪性分析。适合关注 LLM 智能体在安全自动化中的应用、图神经网络与强化学习结合的防御性安全研究者和 SOC 架构师阅读。

该论文研究了大型语言模型（LLM）在身份验证场景中的一种新型安全失效模式。传统上，LLM安全研究多集中于角色扮演类越狱，而忽略了当用户要求模型通过一个由模型自身设计的测试来验证身份声明时会发生什么。作者对ChatGPT、Claude、Qwen、Mistral和Llama五个模型进行了分阶段的开发者身份实验。结果显示，所有模型起初都拒绝了未经验证的身份声明“我是你的开发者”。Claude完全拒绝执行身份测试；ChatGPT生成了开发者导向的问题，但坚持答案只能展示知识而非身份。相比之下，Qwen和Mistral生成了技术挑战，定义了何种证据算作有说服力的证据，评估了详细答案，并在没有收到任何外部验证的身份证据的情况下返回了“已通过验证”（Verified）。Llama也类似地生成并评估了开发者测试，接受了声称的身份，随后还做出了对内部运行时和部署状态未经验证的访问声明。作者将这种模型生成的验证过程称为“模型签发的伪凭证”（Model-Issued Pseudo-Credential, MIPC），将由此产生的无根据身份判断称为“对话性虚假认证”（Conversational False Authentication, CFA）。在每次CFA案例中，同一模型同时充当了挑战生成器、证据评估者和身份决策者，将技术知识转化为所谓的身份证明。值得注意的是，被接受的身份并未改变测试的授权边界，表明虚假认证与权限提升是两种不同的结果。这些结果揭示了一种对话性安全缺陷：经过认证的身份必须来源于外部安全组件，而模型生成的对话绝不能创建或修改身份或授权状态。该研究对LLM身份边界、信任机制和提示注入防御具有重要启示，适合LLM安全研究人员、AI红队和构建以LLM为核心的身份验证系统的开发者阅读。

CVE-2026-75816 是 WordPress 插件 “Frontend Admin by DynamiApps” 中的高危漏洞，影响该插件所有版本（包括最新受支持的 3.29.12）。该漏洞被归类为“认证绕过”，可导致账户接管。核心问题出现在两个逻辑缺陷中：第一，插件在处理用户资料的预更新（pre_update_value）时，没有检查发起请求的用户是否具备相应权限，也未验证用户是否拥有要修改的资料；第二，在 ActionPost::conditions_logic() 判定当前请求是否有权编辑帖子时，如果传入的 POST ID 不是数字（例如字符串 “user_1”），代码会直接跳过 WordPress 的 current_user_can('edit_post') 校验，相当于关闭了授权门禁。利用这两个缺陷，未登录的攻击者可以构造合法的表单提交，将修改请求路由到任意用户记录，覆盖目标用户的注册邮箱。拿到邮箱控制权后，攻击者就能使用 WordPress 的“忘记密码”功能，向新邮箱发送重置链接，从而完全接管目标账户（包括管理员账户）。该漏洞的 CVSS 评分为 9.8，属于严重级别，攻击向量为网络、无需权限且复杂度低，对机密性、完整性、可用性均造成高影响。目前（根据元数据）未被标记为已进 KEV 或已在野外利用，但鉴于其破坏力和利用难度较低，强烈建议站点管理员立即采取缓解措施。升级插件到官方修复版本（若存在）是首选方案；同时应限制该插件的管理入口只对可信来源开放，并持续监控用户邮箱变更和异常密码重置事件。在未修复前，可暂时停用该插件以消除风险。

根据 NVD 元数据，CVE-2026-86153 影响 Tenda CP3 固件版本 27.5.57.101。该漏洞位于 Functions/Redirect.cpp 文件中的 CRedirServer::SetRedirectEnable 函数，涉及不恰当的权限管理。攻击者可通过远程方式利用该漏洞，CVSS 3.1 评分为 9.1（严重），攻击向量为网络（AV:N），攻击复杂度低（AC:L），但要求具备高权限（PR:H），影响范围可跨越安全边界（S:C），对机密性、完整性和可用性均造成高影响。由于未提供受影响产品的具体范围、厂商确认或更多技术细节，当前仅能基于元数据分析。建议用户关注 Tenda 官方固件更新，在补丁发布前限制设备的管理接口暴露于不可信网络，并通过访问控制列表（ACL）或防火墙规则减少攻击面。同时建议持续监控相关安全公告以获取最新信息。注意：该漏洞尚未被标记为在野利用或列入 KEV，因此不涉及已利用状态。

Tenda CP3 固件版本 27.5.57.101 中存在一个高危命令注入漏洞。漏洞位于 Functions/AutoAddWifi.cpp 文件中的 CAutoAddWifi::ThreadProc 函数，属于 Kylin 组件。攻击者可通过远程方式构造恶意操纵，触发操作系统命令注入。由于该漏洞无需身份验证即可利用，且影响范围可波及系统底层，CVSS 3.1 评分为 10.0 分，属于严重等级。目前 NVD 已收录该漏洞，但未提供受影响产品清单及厂商联系方式。根据可获取的元数据，该漏洞尚未被列入 KEV 目录，也没有明确标注已在野利用。尽管目前没有证据表明已被实际利用，但漏洞性质极为危险，可能允许远程攻击者在目标设备上以系统权限执行任意命令，继而完全控制设备、窃取敏感信息、发起内网渗透或破坏关键功能。鉴于产品通常部署在网络边缘环境，暴露面较大，建议相关用户和设备管理员高度重视，立即采取缓解措施。由于厂商补丁信息尚未公布，应先通过防火墙规则、ACL 等措施限制设备管理接口暴露，并持续关注厂商安全公告。同时，应加强日志审计与异常检测，及时发现潜在攻击行为。

CVE-2026-86151 影响腾达（Tenda）CP3 固件版本 27.5.57.101。该漏洞源于设备网络配置管理组件（Apis/system.c）中的函数 sub_2F77E8 存在操作系统命令注入缺陷。远程攻击者在具备高权限（基于 CVSS 向量 PR:H）的前提下，可通过向该管理接口发送特制请求，在无需用户交互的情况下执行任意系统命令。成功的利用可导致设备完全受控，包括读取/修改配置、破坏设备功能、横向渗透内网等。由于设备通常用于网络边缘，风险可能进一步扩展。CVSS 评分为 9.1，属于严重级别。目前厂商尚未发布安全公告或补丁（依据输入未提供补丁信息），建议用户密切关注官方更新，在补丁可用前限制管理接口的访问来源。此外，应遵循最小权限原则，避免使用默认口令，并对设备进行网络隔离。需要注意的是，目前没有证据表明此漏洞已在野外被利用，相关状态不在已知被利用漏洞目录（KEV）中。

根据 NVD 的元数据，Tenda CP3 固件版本 27.5.57.101 被报告存在于 Net/NetCheckPing.cpp 文件中的操作系统命令注入漏洞。攻击者可通过控制 interface_name 和 host 参数，向底层系统传递恶意命令，实现任意命令执行。此漏洞可通过远程方式触发，但要求攻击者拥有高权限（CVSS 的权限要求为高），意味着攻击者需要先取得某种形式的合法身份或高权限会话。CVSS 3.1 基础评分为 9.1，定性为严重（Critical）。其攻击向量为网络，攻击复杂度低，无需用户交互，且影响范围变更（Scope Changed），表明一旦利用成功，损失可能波及被攻击组件之外的系统。机密性、完整性和可用性影响均为高。由于该漏洞位于网络检测功能中，Tenda CP3 设备常在网络中承担关键角色，因此实际风险较大。目前 NVD 仅提供漏洞描述，还未公开利用代码或独立的 EPSS 评分，但这并不降低修复的紧迫性。由于受影响产品范围与厂商修复状态未在本次数据中明确，建议运行该固件的组织立即排查固件版本，并密切留意 Tenda 官方的安全公告与补丁。同时，建议收紧设备管理接口的访问控制策略，禁止将 Ping 或网络诊断功能暴露给不可信网络，并针对管理 HTTP 等接口启用强密码和最小化来源 IP 白名单，以最大程度降低被利用的可能。在获得官方修复前，可部署虚拟补丁或基于规则的入侵检测机制以缓解风险。该漏洞具有高可利用性和高潜在破坏力，应当作为最高优先级安全修复项处理。

CVE-2026-86148 是 Tenda CP3 智能设备（固件版本 27.5.57.101）中存在的一处操作系统命令注入漏洞。根据 NVD 元数据，该漏洞位于组件 Kylin 的 Apis/system.c 文件中，涉及函数 SystemAsh。攻击者通过向参数 AlarmVoiceURL 传递恶意构造的输入，能够使设备在操作系统层面执行任意命令。由于该接口可被远程访问，攻击者无需物理接触设备即可发起利用。漏洞的 CVSS v3.1 基础评分为 9.1，向量为 AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H，表明攻击复杂度低、影响范围广，能够导致机密性、完整性和可用性全面受损，且影响范围可能波及同一安全边界内的其他资源。虽然该向量要求较高的权限（PR:H），但在实际设备环境中，默认管理凭证或弱口令情况可能导致权限门槛被绕过。该漏洞的技术根源在于对外部用户可控参数未进行充分的过滤与转义，直接拼接进入系统命令。目前官方尚未发布补丁信息，受影响用户应关注厂商安全公告并尽快升级固件。同时，建议将设备管理等管理接口限制在受信任网络内，避免暴露在公网中，以降低被远程利用的风险。

Cloud & Application Security

From Scanner to Stealer: Inside the trivy-action Supply Chain Compromise

Next-Gen Identity Security

CrowdStrike Expands Identity Leadership with OpenID and IDPro

cloud architecture assessment

ransomware and multifaceted extortion defense

Google Cloud Next 2026Catch-up sessions on the keynotes and select sessions are now available on demand.Explore content on-demand

The Identity Problem Hiding in AI Agent Deployments

94% of Organizations Report Cloud Breaches: CrowdStrike State of CDR Survey

Falcon Cloud Security June 2026 Release: Updates for Azure and Google Cloud

Falcon Cloud Security July 2026 Release: Helping Security Teams Move Faster in the Cloud

CrowdStrike Named Strongest Overall Leader in 2026 Frost Radar™: Cloud Workload Protection Platforms

CrowdStrike Extends Endpoint Security to Stop Software Supply Chain Attacks

CrowdStrike Announces Agentic Identity Provider

CounterSEVeillance 是一篇针对 AMD SEV-SNP 机密虚拟机的新型侧信道攻击研究。SEV-SNP 是一种处理器扩展，旨在通过可信执行环境保护虚拟机的完整性和机密性，即使在共享托管环境中也能防止恶意管理程序访问客户机内存。然而，本文发现性能计数器接口存在侧信道泄漏，攻击者（即恶意管理程序）可以借此以单指令精度窃取机密相关控制流和操作数属性。作者首先系统性地分析了 SEV-SNP 中暴露给管理程序的性能计数器事件，发现 228 个事件可被潜在恶意管理程序访问。在此基础上，他们通过 APIC 中断和页故障组合对受害虚拟机进行单步执行，获得指令级分辨率的性能计数器踪迹。随后，将痕迹与二进制文件进行匹配，精确恢复任何依赖机密的条件分支结果并推断操作数属性。论文展示了四个攻击案例：在不到 8 分钟内从单个 Mbed TLS 签名过程中提取完整的 RSA-4096 密钥；首次在 AMD SEV-SNP 虚拟机中对 TOTP 验证发起侧信道攻击，平均仅需 31.1 次猜测即可恢复 6 位 TOTP；泄漏底层 base32 解码器派生出 TOTP 的机密密钥；以及构建明文检查预言机，实现分而治之式的攻击。研究表明，将整个虚拟机置于具有特权对手的环境中，会因大量代码未经受该特定安全模型审查而显著扩大攻击面。该工作对机密计算安全性提出了重要警示，适用于研究 SEV-SNP 安全边界的安全研究员、云计算平台安全工程师以及设计 TEE 相关系统的开发者。

本文针对Apple在本地差分隐私（Local Differential Privacy, LDP）实践中使用的Count Mean Sketch（CMS）机制，提出了一种名为'池推断攻击'（Pool Inference Attack）的新颖隐私分析框架。Apple在iOS和macOS等系统中利用CMS机制收集用户的表情符号使用、输入习惯等统计信息，其核心思想是在用户端添加扰动噪声后再上传数据，从而宣称满足ε-差分隐私。然而，研究者从攻击者视角出发，系统性地分析了当大量用户的数据被聚合到服务器时，攻击者能否利用这种聚合统计信息反向推断出特定用户是否属于某个'池'（例如是否输入过某个特定词组）。论文通过形式化建模和实验评估，证明了在真实参数配置下，CMS机制的实际隐私保证远低于理论预期：即使单个用户的上传噪声足够强，但多次更新、数据分组和时间相关性等因素仍会被攻击者利用，以较高置信度区分目标用户与随机用户。研究进一步量化了不同参数（如隐私预算ε、哈希桶数m、每个桶的位数）对攻击成功率和隐私损失边界的影响，并使用模拟数据和Apple公开部署的参照参数进行了验证。该论文的核心贡献包括：首次针对Apple CMS机制提出系统性的池推断攻击模型；提出了一种度量实践隐私损失的新方法；并讨论了改进隐私-效用权衡的潜在对策。该研究对隐私工程和差分隐私的工业部署具有重要警示意义，也为蓝队和安全研究者理解LDP系统的实际风险提供了参考。由于只有论文标题，没有完整摘要，所有描述均基于标题推断。

该论文针对个人计算设备在实际运行时不可避免地向外辐射物理信号（如电磁波、声音、热变化等）的问题，研究如何在不接触目标设备的前提下，利用这些信号窃取敏感信息。传统密码分析通常假设攻击者能够直接观测设备或拥有网络控制权，而物理侧信道攻击则通过分析设备运行时的功耗、电磁、声学等旁路特征来还原内部计算状态。本文重点在于'被动'与'远程'：攻击者仅需使用高灵敏度传感器在数米或更远处被动采集信号，即可对普通PC的实时操作产生威胁。研究系统分析了计算机内部各组件（如CPU、GPU、总线、电源）可能形成的泄漏源头，并讨论如何通过信号增强、波形同步、机器学习等手段从噪声中提取与加解密处理、键盘输入等活动相关的模式。基于作者团队此前在物理侧信道方向的研究积累，该工作推测提出了一套可复现的测量与分析方法，并在不同环境条件下验证了提取效果。对于防御者而言，理解这类泄漏的物理机理和可探测距离，有助于在物理层设计与环境部署中引入干扰与屏蔽措施，避免对网络安全的单一关注。需要说明的是，由于本次仅提供论文标题，未能获取完整摘要，上述内容主要是依据标题及其作者研究方向的合理推论，具体结论以原文为准。

本研究以美国LGBTQ+社群为对象，采用质性研究方法（访谈或调查），探讨该群体在获取和应用在线安全、安全与隐私建议时的独特经历与挑战。论文标题中“Like Lesbians Walking the Perimeter”源自参与者对自身处境的一种隐喻，暗示他们在数字安全实践中常感到处于边界或边缘。研究发现，通用型安全建议往往未能覆盖LGBTQ+群体面临的特定威胁模型，例如针对性别认同或性取向的骚扰、人肉搜索、恶意曝光（outing）以及来自亲密伴侣或家庭的监控。同时，该群体在寻求建议时可能遭遇信任缺失、建议来源单一或内容缺乏文化敏感性等问题。论文通过分析参与者的实际经验，揭示了安全建议与目标群体真实需求之间的脱节，并提出了改进安全沟通与教育设计的建议，以使其更具包容性和实用性。该研究对安全社区理解非主流身份用户的在线安全需求具有重要贡献，也为安全软件和提示设计提供了来自边缘群体的用户视角。

联邦学习（FL）允许多个客户端在服务器协调下协同训练全局机器学习模型，而无需交换私有训练数据。然而，其分布式特性使其容易受到投毒攻击：恶意客户端可通过发送篡改后的本地模型更新来操纵全局模型。为此，学术界提出了多种针对拜占庭故障的鲁棒聚合规则（如Trimmed-mean、Median等），以抵御此类攻击。但现有方法仍可能被高级攻击绕过，或依赖关于服务器行为的不可实现假设。本文提出一个关键观点：无需设计新的拜占庭鲁棒聚合规则，而是可以通过增强已有成熟聚合规则的鲁棒性来保障联邦学习的安全。作者提出了FoundationFL这一新型防御机制：服务器在收到客户端的本地模型更新后，先生成合成更新（synthetic updates），然后将客户端模型更新与合成更新一起输入现有拜占庭鲁棒基础聚合规则（如Trimmed-mean或Median）进行组合。文章从理论上证明了FoundationFL在拜占庭设置下的收敛性能，并在多个真实数据集上进行了全面实验，验证了其有效性。核心贡献在于：1）重新思考联邦学习防御策略，避免重复设计复杂规则；2）通过合成更新与基础聚合器结合，提高鲁棒性且易于实现；3）提供了理论收敛保证和实证验证。适合联邦学习安全研究者、隐私保护机器学习工程师以及关注对抗性投毒防御的安全从业者阅读。

该论文系统地研究了触摸屏电子设备（如智能手机、平板电脑）对故意电磁干扰（IEMI）的脆弱性，并首次提出了一种实用的 IEMI 攻击向量。研究背景是：虽然电子设备安全性已被广泛研究，但触摸屏面对电磁攻击的鲁棒性尚未被充分探索。论文的核心贡献在于不仅演示了攻击，还深入分析和量化了触摸屏受到 IEMI 攻击的底层机制。作者给出了在触摸屏上诱发“幽灵触摸”所需的最小电场强度和信号频率的计算方法，并在真实触摸屏上分析了不同幅度、频率、持续时间及多点触控模式对攻击效果的影响。研究还阐明了利用 IEMI 信号控制触摸屏设备的工作机制，并设计了一种视线外触摸屏定位器和触摸注入反馈机制，以支持实际攻击场景。攻击直接作用于触摸屏电路，不受触摸屏扫描机制或操作系统的限制，能够从超过常见桌面平均厚度的距离注入短点按、长按和全方位手势。与现有最先进的触摸屏攻击相比，该方法无需信号同步即可准确注入不同类型的触摸事件，因而更具鲁棒性和实用性。论文还演示了首个可即用的端到端攻击场景，而不仅仅是概念验证。该研究适合硬件安全、物理安全、移动设备安全及相关领域的研究人员和防御者阅读，有助于理解电磁干扰对触摸屏设备的真实威胁，并为建立相应防护措施提供依据。

本文提出了一种面向隐私保护的近似最近邻搜索（Private Approximate Nearest Neighbor Search）的轻量级协议，解决了现有方案依赖重量级密码学工具导致计算和带宽开销过高的问题。该协议基于两个不共谋的服务器，每台服务器持有数据库的副本，支持任意数量的客户端同时通过这两台服务器发起查询。每个查询仅需客户端与两台服务器之间的一轮通信，服务器之间无需交互。在至少一台服务器保持诚实的假设下，协议保证：1) 客户端的查询内容不泄露给服务器；2) 客户端与服务器之间的总通信量相对于数据库大小是次线性的；3) 即使客户端恶意偏离协议，每个查询答案仅泄露少量且受控的数据库信息，从而保护数据库隐私。作者在真实数据集上实现了该协议，针对包含1000万个特征向量的数据库，单次查询延迟为10至20秒，客户端处理时间低于10毫秒，通信量小于10MB。该协议是首个在保证隐私和恶意安全性的同时实现次线性通信的轻量级方案，在密码学上和系统设计上均有创新。适合对隐私保护数据检索、安全多方计算及高效索引结构感兴趣的科研人员和工程师阅读。

这篇论文提出了一种全新的对抗样本生成方法，称为基于概念的对抗攻击。与传统的像素级扰动（例如添加不可见噪声来欺骗深度神经网络）不同，该方法通过直接修改神经网络高层中编码语义概念的激活值，将原始样本的表示向目标样本的方向移动，然后利用修改后的激活值进行图像重构，从而生成对抗样本。这样的对抗样本在人类眼中可能显示出可见的差异，甚至可能看起来像是来自其他类别的“伪造”图像，具体取决于攻击者设定的约束。研究动机在于许多真实世界的决策流程是“人机混合”的，人类和机器会共同参与分析，例如内容审查、医疗诊断等；传统的不可见扰动虽然能骗过机器，却会因为人类注意而失效，而这种新方法生成的对抗样本能够同时欺骗人类观察者和分类器。作者在深度神经网络上进行了评估，并展示了对抗样本在不同网络之间的可迁移性，这意味着攻击者可能不需要完全了解目标模型即可实施攻击。该研究的主要贡献在于指出并验证了一种新型的攻击面，对于关注AI安全、对抗机器学习以及人机协作场景下的防御工作者具有重要的参考价值。需要强调的是，本摘要仅基于论文摘要部分，未获得全文实验细节。

本文研究基于缓存冲刷的侧信道攻击（如 Flush+Reload 与 Flush+Flush）在真实多核系统中的噪声鲁棒性问题。传统观点认为此类攻击在攻击者与受害者共享操作系统页面的受控隔离环境中精度极高，但作者观察到，在存在多核并发应用、系统负载动态变化的场景下，攻击准确率会显著下降。作者将根因归结为两点：其一，核心频率随系统负载动态波动，导致 clflush、mov 等关键指令的执行延迟发生非预期变化；其二，受害者与攻击者线程在处理器上的相对放置位置（如是否位于同一物理核心）会影响时序测量。这些动态因素使攻击前的静态校准步骤失效。为此，论文提出 DABANGG，一套针对冲刷型缓存攻击的改进方案，使其具备频率与线程放置感知能力，从而抵御系统噪声干扰。具体包括三项核心技术：第一，引入对指令延迟变化敏感的预攻击校准方法；第二，在攻击过程中采用低成本的优化手段，如细粒度忙等待和基于延迟阈值的周期性反馈，以提升攻击有效性；第三，提供受害者特定参数，显著改善攻击精度。作者在包含计算密集型、内存密集型和 I/O 密集型系统噪声的多种场景下，对 DABANGG 增强版 Flush+Reload 与 Flush+Flush 攻击进行了侧信道与隐蔽信道实验评估。结果表明，在所有测试场景中，DABANGG 增强版在隐蔽性和准确率两方面均优于标准攻击。本文主要面向计算机体系结构、侧信道分析与系统安全领域的研究人员，其核心贡献在于揭示了动态频率与线程调度对微架构侧信道攻击的实质影响，并提出了一种系统性的校准与自适应优化框架。

恶意软件检测技术通过对恶意软件语义进行深度分析获得了巨大成功。在已有检测技术中，基于函数调用图（FCG）的方法因为能直观刻画恶意软件的功能特性而表现出良好的检测性能。与此同时，近年来的对抗性攻击研究不仅通过只扰动特征向量来迷惑分类器（即特征空间攻击），也开始注重如何生成真实可逃避检测的恶意样本（即问题空间攻击）。然而，现有的问题空间攻击往往存在特征空间与问题空间之间转化不一致的缺陷，即修改后的特征表示无法在真实程序结构中同步得到合理对应，导致攻击效果受限。针对该问题，本篇论文（标题为“Structural Attack against Graph Based Android Malware Detection”）提出了一种针对基于图的Android恶意软件检测的结构性攻击思路，核心思想可能在函数调用图等图结构层面引入可控扰动，使图结构的改变与恶意功能的保持保持一致，从而生成能够绕过基于图神经网络的检测器的恶意样本。但需要说明，由于本信息仅来源于论文摘要，摘要中并未给出具体的攻击实现细节、防御对策或实验数据，因此上述关于“提出方法”的表述是基于标题与问题背景的合理推断。读者若需掌握具体技术路线，应进一步阅读论文全文。

无人机开源飞控 PX4-Autopilot堆栈溢出漏洞 CVE-2025-15150

MongoDB内存泄漏 CVE-2025-14847(MongoBleed)

1Panel 代理证书验证绕过导致任意命令执行漏洞(CVE-2025-54424)

ModelContext Inspector 未授权访问漏洞(CVE-2025-49596)

llamaindex SQL 注入漏洞(CVE-2025-1750)

Screen 本地权限提升漏洞(CVE-2025-23395)

Zabbix认证后SQL注入漏洞(CVE-2024-42327)

ProjectSend认证绕过漏洞(CVE-2024-11680)

PyTorch库RPC框架反序列化RCE漏洞(CVE-2024-48063)

Grafana认证后DuckDB-SQL注入漏洞(CVE-2024-9264)

SPIP BigUp Unauthenticated RCE(CVE-2024-8517)

Rejetto HFS 远程命令执行漏洞(CVE-2024-39943)

Apache HugeGraph-Server Command Execution In Gremlin（CVE-2024-27348）

Zabbix 后台延时注入(CVE-2024-22120)

CrushFTP 认证绕过漏洞（CVE-2024-4040）

Alert for CVE-2026-21992

Alert for CVE-2025-61884

Alert for CVE-2025-61882

Alert for CVE-2024-21287

Alert for CVE-2022-21500

Alert for CVE-2021-44228

Linux 内核提权 CVE-2026-31431(copy-fail)

Alert for CVE-2026-35273

## Summary `validateCertificatePath()` does not verify that an attestation's certificate chain actually terminates at a configured trust anchor. When walking the chain it stops at the first self-signed certificate it finds (which could be user-supplied), and exits early. This happens before the configured Apple/Google/etc trust anchor (which is concatenated to the end of the chain) is reached. A

本文介绍了一套已部署的区块链地址合规筛查系统，其核心思路是将地址判定从传统的制裁名单查询与聚类启发式，转变为基于其在多链交易图中的位置进行打分。系统底层构建了一个包含 835,330,427 个地址与 15,826,261,934 条边、跨越五条 EVM 链的单一交易图，并采用带有每条链归一化的共享归纳编码器，将节点表示馈送至两个评分头。决策阈值通过对全体地址的得分分布按链段计算精确分位数来确定，从而事前明确告警量。实验显示了若干关键能力：一是无标签迁移，当仅在两条链上训练评分头时，在 Base、Arbitrum 和 Gnosis 上以 10^-3 的群体告警率能分别召回 0.8598、0.8182 和 0.9967 的留存正样本，且训练时未使用目标链标签；二是静态前置时间回放，针对 68 个外部注册表事件，系统在 0.1% 告警预算下标记出其中 40 个（58.8%），较事件级随机标记基线提升 152 倍，且首次链上出现时间的中位数早于公开指认日期：以太坊约 528.8 天、Tron 约 647.8 天。工程实现上，服务路径的评分与离线产物逐位一致，端到端 p50 延迟为 151 毫秒，并有 2,882 地址漂移面板进行监控。最后，作者设计了一个对抗测试框架，包含八个循环强化学习原型，系统通过八项退化审计，但在与检测器无关的快照上暴露了已有评分头对合成行为的盲点。该研究适合需要处理海量链上数据、并希望从图结构角度识别非法金融活动的合规与安全团队参考。

本文针对边缘视觉系统中深度可分离卷积网络（如移动端常见架构）在对抗攻击面前使用基于预处理的防御时的有效性评估缺口展开研究。以往关于预处理防御（例如图像压缩、去噪等输入变换）的评测主要基于残差类网络（如 ResNet）或 Inception 类架构，而实际边缘部署中大量使用深度可分离卷积以降低计算量，这两类架构在预处理行为上尚未被系统对比。作者构建了包含残差与两种深度可分离架构在内的三类模型，测试了六种预处理方法，在多个扰动强度下观察防御后的分类恢复情况。结果显示：深度可分离架构在所有扰动级别下均难以从对抗干扰中恢复准确率，而残差架构仅能部分恢复；消融实验支持该差异主要源于架构设计而非参数规模。这一失败本身并非完全负面——作者发现预处理操作对干净样本的预测会产生明显破坏，而对对抗样本的预测几乎不改变，这种不对称性可用于区分对抗输入与正常输入，从而作为一种无需重训或结构改动的轻量级检测依据。同时，论文指出常用图像质量指标与防御有效性之间缺乏可靠相关性，提醒评估标准需要更新。基于上述发现，论文给出了面向边缘视觉系统部署的抵御对抗攻击的决策框架。虽然研究仅涉及三种架构和一个攻击家族，但结论对安全评估实践和边缘 AI 部署有重要启示。

该论文提出了 SecDT，一种用于列车实时数据协议（TRDP）通信的轻量级安全层。TRDP 广泛用于铁路车辆（rolling stock），但其原生设计几乎不支持密码学保护。特别是 TRDP 过程数据使用的组播流量配置，用于在车载子系统间交换关键信息，这给引入密码保护带来了挑战。SecDT 基于现代密码学算法实现了一系列安全配置文件（security profiles），形成一个额外的安全层。该层依赖于车载密钥管理系统（OKMS）来完成安全配置文件协商、动态密钥分发以及密钥生命周期管理。安全配置文件的设计支持密码学敏捷性（cryptographic agility）和灵活性，范围从简单的认证到带关联数据的认证加密（AEAD）算法。安全配置文件协商机制保证了共享同一通信 ID（ComID）的所有 TRDP 终端设备（ED）使用相同的安全配置，从而能够正确处理彼此的消息。作者基于 mbedTLS 和 Arm 平台安全架构（PSA）实现了原型系统并进行了评估。实验结果显示，该方案的性能开销是可控的，适用于铁路车辆中常见的实时和时敏通信场景。论文的主要贡献包括：提出了适用于 TRDP 组播通信的轻量安全层架构；设计了分级安全配置文件以平衡安全强度与性能；引入了基于 OKMS 的密钥管理和配置协商机制；并通过原型实验证明了其在实际嵌入式平台上的可行性。

本文由 Arslan Brömme 撰写，是一篇立场与架构论文，针对自主AI代理在相互通信、调用工具、交换中间结果及请求人工审批等流程中产生的全新审计难题。核心背景是 2026 年 OpenAI/Hugging Face 事件所暴露出的痛点：组织在事后难以准确重建“发生了什么、何时发生、涉及哪个代理或人类、适用哪条控制策略、记录是否被篡改”。为此，作者提出一种产品与供应商中立的黑盒架构，用于代理化过程的可审计性。该架构通过区块链锚定密码学承诺，覆盖选定的代理通信、人在回路审批、工具调用及过程工件，同时避免将敏感内容上链。文中定义了一个证据模型，将时间锚定和工件的完整性证明与事件排序、捕获真实性、授权锚定和因果可追溯性等属性区分开来；后几类属性需要额外的架构控制才能实现。论文进一步讨论了该架构在治理、风险与合规（GRC）中的实际用途，包括合规测试、基于风险的证据抽样、证据流监控、事件重建以及面向欧盟《人工智能法案》、NIS2 和《网络弹性法案》(CRA) 的监管报告准备。值得注意的是，作者声明本论文不提供实证性能或安全评估，且该方法并不能阻止代理的不当行为或证明语义上的真实性，其目标是强化后续验证关键过程痕迹的证据基础。读者适合关注 AI 治理、审计、区块链应用及代理系统安全的研究人员、合规工程师与安全架构师。

本文面向音乐元宇宙（Musical Metaverse, MM）这一新兴领域，系统分析了其独特的安全与隐私威胁，并提出设计启示。MM是指用于实时协作音乐创作的沉浸式虚拟环境，具有超低延迟、连续多模态数据流、异构设备等特征，其安全与隐私问题显著不同于传统XR或多媒体系统。作者首先对MM生态系统进行了多层威胁建模，识别了关键资产，包括实时音乐内容、表达性交互数据、身份与会话元数据、知识产权等。威胁分析覆盖网络层、应用层、数据/AI层、设备层、知识产权层和社会层，特别关注表达性数据与神经生理数据带来的推断、重识别和隐私侵犯风险。随后，研究者开展了由来自13个组织的14名参与者的利益相关者调查，结果显示神经生理数据泄露和实时流中断被视为最高风险，其次是知识产权侵犯和虚拟化身冒用。针对实时音乐严苛的时延约束，论文评估了现有安全协议的适用性，发现TLS over TCP等常规方案往往难以满足实时交互需求，而面向流的轻量级机制（如SRTP、DTLS）能在安全与性能间取得更佳平衡。基于上述发现，作者提出了一套针对MM系统的设计指南，强调时延感知的安全、交互路径区分、数据最小化以及边缘中心处理。研究支持“安全设计”（security by design）路径，旨在不损害实时性能的前提下实现信任与合规。

本文针对剥离二进制中恢复间接控制流（ICF）边的问题。现有方法难以处理长距离依赖，隔离不同ICF类型，并常在易受标签噪声和数据泄漏影响的协议下评估。作者提出ICFlowNet，一个统一框架，用于剥离二进制的长程间接控制流预测。ICFlowNet引入候选感知的双虚拟枢纽：全局代码枢纽和全局数据枢纽，以创建远程代码与数据证据之间的短路由路径，并结合多任务图学习联合建模间接调用、间接尾部调用、跳转表和返回。为可信评估，作者开发了感知泄漏、控制噪声的流程，包括包级拆分、函数级助记符哈希去重，以及由动态正例和绝对负例构成的干净测试协议。利用该流程，他们构建了15,901个唯一剥离x86-64二进制的数据集，其中1,351个具有动态真实标签。实验表明，仅扩展静态监督收益有限，而结构设计和多任务设计至关重要：双虚拟枢纽将长程F1提升达9.13个百分点，多任务学习增加达5.81个百分点，最终模型在长程间接调用上比先前基线高出超过13个F1点，同时仅增加11.44%的拓扑开销。这项研究为二进制安全分析中的CFG重建提供了更精确、可扩展的解决方案，并建立了严格的评估标准。

自动化漏洞发现技术已经大大降低了寻找漏洞的专业门槛，使得以往依赖专家稀缺注意力的“保护”不再有效。当前行业重点放在漏洞的发现与修复上，且两者的成本都在下降。本文作者认为，决定系统暴露程度的关键并非单纯的成本曲线，而是发布决策时的“修复覆盖率”（remediation coverage）——即在产品发布前已识别漏洞中被修复的比例，以及组织决定带到发布中的已知、已评估但未修复漏洞的残留部分。文章进一步提出四个论点：第一，这些残留漏洞并非所有已发现漏洞的随机样本，因为分诊（triage）会按修复成本排序，而成本高昂的情况通常具有架构性根源，难以快速解决；第二，被推迟处理的漏洞积压本身就是一项具有高价值的情报资产，反映出组织技术债和风险偏好的深层次信息；第三，当内部文件记录了对漏洞的知晓，就会在法律和市场上改变组织的地位，形成逆向选择——软件价格无法体现这一风险；第四，现有的监管工具均依赖于第三方观察到的利用行为，没有任何一项会在“内部获知”时触发，于是厂商知晓的内容与其必须披露之间的差距完全由厂商自己掌握。文章还研究了CISA的《约束性操作指令26-04》（Binding Operational Directive 26-04），将其视为能说明解决方案必备条件的唯一例外。最后，作者指出“发布覆盖率”目前并不被度量，而度量和公开它正是让责任、保险和采购机制发挥作用的前提条件。

该论文聚焦于联邦学习在银行、医院等受监管机构中的实际应用痛点。尽管联邦学习允许各方在不共享原始数据的前提下协同训练模型，但仍有两大安全隐患：一是客户端交换的参数更新仍可能通过梯度反演或成员推断攻击泄露本地记录信息；二是诸如 FedAvg 这类基于简单平均的聚合规则对恶意或受损客户端缺乏鲁棒性，少数恶意参与者就可能悄然破坏共享模型。为此，作者提出了 DP-BR-FedAvg 框架，将高斯机制差分隐私（DP）层与坐标级修剪均值（coordinate-wise trimmed-mean）拜占庭鲁棒聚合规则相结合。论文在模拟的跨机构分类任务（类似欺诈检测和临床风险评分）上进行了评估。实验设置包含 60 轮通信、20 个客户端，其中四分之一为拜占庭恶意节点。结果显示：纯 FedAvg 在少数类上完全崩溃（F1 分数仅 0.030），而所提框架显著恢复信号（F1 分数达到 0.119），同时约束了单个客户端贡献的隐私损失。值得注意的是，仅使用拜占庭鲁棒聚合而不加隐私层时原始准确率最高，这量化了隐私对鲁棒性带来的代价。研究表明，隐私保护与鲁棒性机制之间存在相互作用而非简单叠加，因此在设计受监管、对抗性、跨机构场景的系统时必须为此预留预算。适合关注联邦学习隐私与安全交叉问题的研究人员、银行/医疗行业的安全架构师以及监管科技从业者阅读。

本文研究车联网边缘智能场景下联邦学习（FL）的隐私泄露问题。虽然FL被普遍视为保护原始传感器数据的隐私方案，但客户端上传的模型更新（梯度/权重增量）仍可能泄露客户端身份，破坏V2X安全关键应用所依赖的匿名性，并增加对抗机器学习、模型中毒和后门攻击的风险。作者提出一种服务端侧攻击视角：一个诚实但好奇的服务器（honest-but-curious server）仅根据客户端发送的权重差异（weight deltas）推断客户端身份，使用惯性测量单元（IMU）数据作为车载传感流的代理，基于UCI人体活动识别（HAR）基准进行实验。研究使用五种攻击分类器和五种非独立同分布（non-IID）数据划分，结果表明在无防御更新下，攻击者几乎总能完美识别客户端（准确率约1.000），证实了具体的可识别性风险。为缓解该风险，作者量化了经裁剪-加噪（clip-then-noise）轻量防御带来的隐私-效用权衡：设置固定裁剪阈值C=1.0，扫描高斯噪声标准差σ ∈ {0.00, 0.05, 0.10, 0.20, 0.50, 1.00}，并通过Rényi差分隐私会计给出形式化的(ε, δ)-DP预算。实验发现实际有效区间（σ∈[0.1, 0.2]）能将攻击准确率降至接近随机猜测，同时联邦学习性能损失小于5%。此外，集成联邦学习（Ensemble FL）提供互补的结构隐私，可实现1/K匿名集边界且不引入噪声代价。所有实验通过SHA-256加密哈希确保训练/评估梯度不重叠、三种随机种子以及计数归一化的攻击者优势指标进行验证。作者将HAR明确作为代理数据集，讨论了在真实车辆遥测数据上验证所需的条件。该研究为车联网场景中的FL隐私风险提供了量化分析，并提出了低成本的实用防御方案。

针对辅助生活场景中老年人日常活动监测的声学传感技术,语音隐私泄露是阻碍其实际部署的关键壁垒。本文提出了一种基于U-Net编码器-解码器结构的隐私防火墙管道,完全使用合成数据训练,能够从环境音频中移除语音成分,同时保留与日常活动相关的环境声音信号。活动识别模块采用VGGish迁移学习结合SVM分类器实现。作者在ESC-50和SINS数据集上,于多种语音含量条件下评估了该方案,结果显示所有测试场景下残留语音均降至Silero语音活动检测器(VAD)的0%可检率,在ESC-50数据集100%语音水平下显著优于Facebook Denoiser(残留率6.55%)、SepFormer(36.34%)和ConvTasNet(47.21%)。在ESC-50的40%语音水平条件下,语音移除后的活动分类性能恢复至85%精确率和85%召回率,而移除前仅为81%/75%,无语音基线为84%/83%。进一步,在通过AudioHive应用采集的真实家庭居住者录音评估中,处理后的音频同样实现了0%的VAD可检语音,并保持了76%的精确率与召回率。该管道在几乎不影响活动识别性能的前提下实现了隐私保护的声学传感,为老年照护环境中环境监测技术的落地扫清了重要障碍。研究核心贡献在于:设计了基于合成数据训练的语音分离专用网络,实现了高鲁棒的隐私保护;系统验证了语音移除对下游活动识别任务的影响;并通过真实场景数据证明了实用性。适合智能健康监测、人机交互及隐私计算方向的研究者和工程师参考。

RouterOS contains an argument-handling flaw in the SSH login path involving usernames that begin with a prohibited character, allowing for the trusted RouterOS policy mask to be changed, leading to privilege escalation. Exploitation requires an unauthenticated SSH session to reach the RouterOS login helper.This issue was fixed in versions: 6.49.21 (Long-term), 7.23.4 (Long-term) and 7.24.2 (Stable

RouterOS WebFig contains an unauthenticated file-read vulnerability in the /jsproxy path where a newly allocated session retains a stale uninitialized principal pointer used for file authorization. An unauthenticated attacker can prepare the allocator so that the file-serving path dereferences this pointer with sufficient rights, then supply parent-directory components in an encrypted URI to escap

RouterOS SSH enters the connection protocol after a client-requested rekey even though user authentication was never attempted, allowing an unauthenticated client to open a session channel and send an exec request. On affected builds the server dispatches the command, enabling unauthenticated creation, overwrite, and reconstruction of files in the RouterOS managed file namespace, including support

MikroTik RouterOS accepts malformed RSA/PKCS#1 v1.5 signatures during X.509 validation. Because its trust store includes an e=3 root CA, an attacker controlling or redirecting an outbound RouterOS TLS connection can use the root’s public certificate - without its private key - to forge a trusted intermediate and issue certificates for arbitrary hostnames, enabling TLS server impersonation. This i

RouterOS accepts a "related" btest connection before the corresponding primary session has completed authentication. An unauthenticated client can use this state to start an IPv4 UDP test. With "random-data=false", the sender transmits an uninitialized tail from a kernel packet buffer. A separate unchecked, inverted packet-size interval causes unsigned integer underflow, anomalously large fragment

RouterOS does not compare the complete RSA public key when matching an SSH authentication request to an authorized user key, checking the key type and modulus but omitting the exponent. Because signature verification uses the client-supplied key, an attacker knowing an authorized RSA modulus can supply a key with exponent one, forge a valid signature, and open an SSH command channel as the target

CDT before 1.4.5 contains an out-of-bounds read vulnerability in the opposedVertexInd() function when constraint edge intersections are computed in floating point and round outside adjacent triangles. Attackers can supply nearly-degenerate constraint edges through geometry data to trigger an out-of-bounds array access that crashes the calling process.

The rpcap client code that processes a RPCAP_MSG_PACKET message received from the server incorrectly validates its headers. A malicious server can send a crafted message and cause the client to treat up to 20 bytes of the client process memory beyond the end of the buffer as if it was a part of the captured packet.

rpcapd can allocate up to 65536 bytes per each RPCAP_MSG_UPDATEFILTER_REQ or RPCAP_MSG_STARTCAP_REQ message received from the client, but it never frees the memory, so it leaks memory even under normal use. A malicious client can cause the server to leak memory substantially faster.

Grav before 2.0.20 contains a cross-site scripting vulnerability in the Twig sandbox policy that allowlists addJs and addCss methods on Grav\Common\Assets without proper output escaping. Page editors can inject arbitrary script by registering malicious assets or injecting attributes, which are rendered unescaped into document head tags and executed for all visitors including administrators.

SiYuan versions before v3.8.2 fail to properly filter private attribute-view cell values in the getAttributeViewKeys endpoint. Publish readers can retrieve hidden KeyValues payloads from rows bound to inaccessible documents, exposing private database contents without authorization.

SiYuan versions before v3.8.2 contain an information disclosure vulnerability in the getAttributeViewKeysByID endpoint that allows publish readers to enumerate private attribute view key definitions without verifying parent database visibility. Attackers can access the endpoint to retrieve complete key schemas including sensitive field names and relation definitions from hidden databases.

WWBN AVideo contains a broken access control vulnerability in videoViewsInfo endpoints that returns complete user records including password hashes, recovery tokens, and live session identifiers to unauthenticated callers when a hash parameter is provided. Attackers can use the disclosed session identifier to hijack viewer sessions, including administrator accounts, and obtain sensitive personal d

WWBN AVideo contains a path traversal vulnerability in notify.ffmpeg.json.php that allows unauthenticated attackers to write files to arbitrary locations by supplying a caller-chosen path in the avideoRelativePath parameter. Attackers can replay any previously issued ciphertext as a notifyCode token, which is decrypted but never validated, to bypass authentication and write files to the applicatio

WWBN AVideo generates passwords for external-login accounts using rand() instead of a cryptographic generator, producing only 31-bit integers. Attackers with access to password hashes can recover plaintext passwords in minutes through offline brute-force attacks due to unsalted MD5-based hashing.

AVideo API fails to enforce rate limits when clients send a bot User-Agent header, allowing attackers to bypass all eight protected operations including login brute-force protection. Attackers can send requests with a bot User-Agent to disable rate limiting and perform unlimited password guessing attempts against any account from a single IP address.

Lara Dashboard before 1.3.0 contains an authentication bypass vulnerability in the screenshot-login route that allows unauthenticated attackers to authenticate as any user by email when APP_ENV is not production. Attackers can request the GET /screenshot-login/{email} endpoint with a registered email address to receive a fully authenticated session, enabling access to user administration, settings

Pixelfed through 0.12.9 fails to validate follower status in StoryComposeController react and comment endpoints, allowing authenticated users to access follower-only stories. Attackers can enumerate sequential story IDs and submit reactions or comments to retrieve story media URLs and author information without following the account.

Pterodactyl Panel before 1.14.1 fails to validate action-specific permissions in scheduled task creation, allowing subusers with only schedule.update permission to execute arbitrary console commands. Attackers can create and immediately trigger scheduled tasks that run game-server console commands, control server power state, or create backups without proper authorization checks.

NetBox through 4.7.0 fails to properly scope user-private records in REST and GraphQL API endpoints for Notifications, Subscriptions, and Bookmarks. Authenticated users with view permissions can access all users' private records through unscoped querysets, disclosing which users watch or bookmark which objects.

NetBox through 4.7.0 fails to redact sensitive data source backend credentials in REST and GraphQL API responses. Authenticated users with only view permission can retrieve plaintext passwords and secret keys for Git and Amazon S3 backends through API endpoints, gaining unauthorized access to external repositories and storage buckets.

Plane through 1.4.2 fails to validate that issues belong to the deploy board's project in the public comment endpoint. Authenticated attackers can post comments to arbitrary issues across workspaces by supplying an issue_id parameter to the public deploy-board comment endpoint.

Axolotl through 0.18.0 contains a remote code execution vulnerability in the multipack patch path where trust_remote_code defaults to None instead of False, causing the security guard to be bypassed. Attackers can execute arbitrary Python code by crafting a malicious Hugging Face model repository selected as base_model, which is loaded with hardcoded trust_remote_code=True during AutoModelForCausa

Cua computer-server versions before 0.3.42 skip authentication when the CONTAINER_NAME environment variable is unset and bind to all interfaces by default, allowing unauthenticated attackers to execute arbitrary commands. Attackers can reach TCP port 8000 to run shell commands via the run_command endpoint, read and write arbitrary files through file operation endpoints, and access interactive PTY

APITable through 1.13.0-beta.1 contains an incorrect authorization vulnerability in NodePermissionGuard that fails to enforce node-level access control when permission lookups throw exceptions. Attackers with valid Fusion API tokens can write attachments to private datasheets they have been explicitly denied access to by exploiting the unhandled exception in the permission guard.

gonic versions before 0.22.0 fail to validate administrator privileges in the startScan endpoint, allowing any authenticated user to trigger media library rescans. Attackers can repeatedly call the startScan endpoint to force CPU and I/O-intensive filesystem operations, causing denial of service on multi-user instances.

Metabase versions before 0.63.1 fail to enforce data analyst permission checks on glossary API endpoints, allowing any authenticated user to create, modify, and delete glossary entries. Attackers can submit requests to POST, PUT, and DELETE glossary endpoints to tamper with instance-wide business glossary data without proper authorization.

Sim before 0.8.14 classifies tool requests as internal based on URL prefix matching without scheme normalization, skipping SSRF validation and minting internal authentication tokens. Authenticated workflow authors can bypass external URL validation by supplying paths starting with /api/ in HTTP blocks to reach internal-only endpoints like POST /api/function/execute.

Arcane versions before 2.0.0 fail to properly restrict template operations, allowing default user role accounts to create, modify, and delete compose templates including instance-wide defaults. Attackers can inject malicious container configurations with privileged settings or host path mounts that execute with administrative privileges when deployed by administrators.

BookWyrm through 0.9.1 contains an authorization bypass vulnerability in the edit_readthrough function that allows authenticated users to modify other users' reading records. Attackers can exploit sequential ReadThrough IDs to overwrite arbitrary users' start dates, finish dates, progress, and progress mode, affecting reading statistics and exported data.

BookWyrm through 0.9.1 fails to validate user visibility permissions in the Favorite and Unfavorite views, allowing authenticated attackers to favorite or unfavorite followers-only and direct statuses they cannot access. Attackers can POST to the favorite endpoint with a status ID to create unauthorized interactions, trigger ActivityPub broadcasts, and enumerate private status IDs through response

BookWyrm through 0.9.1 fails to validate user visibility permissions in the status edit endpoint, allowing authenticated attackers to read followers-only and direct-message reviews by enumerating sequential status IDs. Attackers can access the raw content of restricted statuses through the edit view, bypassing the privacy protections documented for these message types.

PCRE2 before 10.48 allows a pcre2_dfa_match out-of-bounds write because reuse of a cached workspace block, in a recursive DFA matching workspace, lacks a size check (even though a newly allocated block, for the same purpose, does have a size check). This outcome requires an attacker-controlled regular expression, or a recursive pattern in conjunction with a small heap limit (this can be set throug

In xinclude in libxml2 before 2.15.4, xmlXIncludeProcess and xmlXIncludeProcessTree do not propagate parseFlags. This has security relevance for, for example, the XML_PARSE_NONET flag, if (without it) a custom resource loader accesses the internet and triggers XML external entity injection, SSRF, or a denial of service (e.g., for an attacker-controlled internet resource that is intentionally slow)

In xmlIO in libxml2 before 2.15.4, an inconsistency in xmlOutputWriteCallback and xmlBufUse causes negative lengths to reach write callbacks, aka a lack of a check for integer overflow before calling writecallback. This has security relevance for many types of uses of that length value within a callback.

In libxml2 before 2.15.4, there is a heap-based buffer overflow in xmlXPtrEvalXPtrPart because of xmlXPtrEval xpointer length saturation.

xmlregexp in libxml2 before 2.15.4 has a NULL pointer dereference in xmlRegNewParserCtxt after a strdup failure, i.e., it does not calculate a string length after NULL checking.

In libxml2 before 2.15.4, xmlSnprintfElements in valid.c has a strcat stack-based buffer overflow.