GitLab Critical Patch Release: 19.4.1, 19.3.3, 19.2.7
CVE-2026-84739 · CVE-2026-89078 · CVE-2026-93577
On September 23, 2026, we released versions 19.4.1, 19.3.3, 19.2.7 for GitLab Community Edition (CE) and Enterprise E
2026-09-24 归档
今日共收录 1600 条安全情报，包含 683 个 CVE，518 篇安全通告，以及 100 篇研究论文。
← 返回归档列表MikroTrick Chain Let Attackers Take Over MikroTik Routers Without a Password or SSH Key
CVE-2026-86060 · CVE-2026-67279
Two MikroTik RouterOS SSH vulnerabilities chained together let attackers take full administrative control of Internet-ex
Improving Service Availability in KubeEdge-Based Architectures Using Lightweight Intrusion Detection
该论文关注 IoT 与云计算推动下边缘计算范式的发展，并指出到 2030 年全球连接 IoT 设备预计约 500 亿台、2025 年约 380 亿台，数据生成量空前增长，因此边缘侧需要高效、可扩展且安全的数据处理机制。KubeEdge 将云
Extracting CNNs in the Unknown-Architecture and Feedback-Agnostic Setting
本文研究卷积神经网络（CNN）的密码分析式模型提取问题。既有的密码分析提取攻击普遍假设网络架构已知，攻击者只需在已知结构下恢复模型参数。本文首次证明：对于同时包含最大池化与平均池化的 CNN，这一架构假设可以被完全移除。核心发现是，现有参数
Cryptographic Security Is Not Enough: Privacy Gaps in the Renegade Decentralized Dark Pool
该论文《Cryptographic Security Is Not Enough: Privacy Gaps in the Renegade Decentralized Dark Pool》由 Prerna Arote、Adrian Sai
Metrics Failure in LLM-Based Code Vulnerability Repair: An Empirical Study and a Change-Aware Screen
该论文对当前 LLM 自动修复 C/C++ 安全漏洞研究中广泛使用的评价指标提出系统性质疑。作者指出，编译率（compile rate，即生成的补丁能否通过编译）常被当作衡量修复进展的代理指标，但对于单函数级别的漏洞修复任务，它在科学上是不
Comparative Evaluation of Static Embedding Models for HTTP Request Anomaly Detection
该论文面向 Web 应用层攻击检测场景，指出现有 Web 应用防火墙（WAF）主要依赖规则匹配，存在误报率高、对新型或变种 HTTP 请求适应性差的问题，并注意到近年已有研究尝试用机器学习与词嵌入模型提升 HTTP 流量异常检测效果，但缺乏
I Prove, Therefore I Am: Spatiotemporal Multi-Party Computation
该论文开创性地提出并研究“时空多方安全计算”(spatiotemporal MPC), 把传统 MPC 的输入从纯数字数据扩展为同时依赖物理事实(如参与方所处位置、时间、运动轨迹)的功能。这类协议面临双重目标: 一方面必须隐藏时空信息(隐私
Staged Multi-step UTXO Workflows via Recursive Invariants
该论文针对无状态 UTXO（未花费交易输出）风格的账本执行模型提出了一套名为「递归不变量」（Recursive Invariants, RI）的交易级逻辑与工具链，用以支撑多步工作流。背景问题是：UTXO 模型只依据本地数据和被引用数据即可
On the Construction of Trapdoor Claw-Free Functions with Certifiable Key
该论文研究的是量子-经典密码交互中广泛使用的陷门无爪函数（Trapdoor Claw-Free Functions, TCF）的密钥可信性问题。现有几乎所有基于 TCF 的密码协议都默认假设密钥由诚实方生成，并在此前提下证明安全性，一旦密钥
Reliable Federated TinyML Deployment for IoT Security
针对物联网设备大规模部署后产生的隐私保护型入侵检测需求，本文研究如何让检测模型直接运行在资源极度受限的微控制器级硬件上。传统联邦学习虽能在不共享原始数据的前提下协同训练模型，但常规联邦模型的体积和训练不稳定性使其难以落地到这类边缘设备；而
MimicSat: A Reconfigurable Cyber-Physical Testbed For Small Satellite Systems and Cybersecurity Research
MimicSat 是一个面向小型卫星系统与网络安全研究的可重构网络-物理（cyber-physical）测试床，目标是为受控的航天器网络安全研究提供统一、可对照的实验环境，用以考察卫星子系统行为的变化如何传播并影响最终任务结果。论文明确区分
FASTAR: FRI Accelerator for Scalable Transparent ARguments of Knowledge
零知识证明（ZKP）允许证明者在不泄露底层秘密的前提下，向验证者密码学地证明某个陈述有效，是「可验证计算」的基础原语。当前 ZKP 技术栈正在经历一次根本性转向：以 Groth16 为代表的经典 zk-SNARK 依赖可信设置（truste
Trust in Edge-Enabled IoT Security: Features, Challenges and Research Directions
该论文是一篇系统性综述，聚焦边缘计算赋能物联网（Edge-Enabled IoT）环境下的信任管理（Trust Management）问题。研究背景在于：物联网为人类生活与工业生产提供了自主智能、泛在连接与易用性，而为了支撑时延敏感、资源受
SigNoz from v0.8.0 before v0.143.0 defaults the JWT tokenizer signing secret (tokenizer::jwt::secret, set via SIGNOZ_TOKENIZER_JWT_SECRET or the deprecated SIGNOZ_JWT_SECRET) to...
CVE-2026-97055
SigNoz 是一款开源的可观测性平台。CVE-2026-97055 影响 v0.8.0 起至 v0.143.0 之前的所有版本：其 JWT tokenizer 的签名密钥（配置项 tokenizer::jwt::secret，可通过环境变
Klever-Go Account takeover: `kleverUpdateAccountPermission` authorizes on attacker-controlled `RecipientAddr` instead of the authenticated caller
CVE-2026-82405
Klever-Go is the Go implementation of the Klever blockchain protocol. Prior to 1.7.20, the KleverUpdateAccountPermission
Klever-Go: Elasticsearch bulk / painless injection via on-chain account name -> explorer/indexer data forgery
CVE-2026-82409
Klever-Go is the Go implementation of the Klever blockchain protocol. Prior to 1.7.20, indexer/common.go serializedDataF
Klever-Go: Validator registration accepts an unvalidated BLS public key → consensus liveness DoS
CVE-2026-82407
Klever-Go is the Go implementation of the Klever blockchain protocol. Prior to 1.7.20, core/kapp/validators/validators.g
Klever-Go: Unauthenticated WebSocket /subscribe: no read-size limit, no connection cap, permissive origin -> remote node memory/goroutine exhaustion (DoS)
CVE-2026-86065
Klever-Go is the Go implementation of the Klever blockchain protocol. Prior to 1.7.20, the default-open GET /subscribe e
Klever-Go: /log controls global node logging
CVE-2026-86064
Klever-Go is the Go implementation of the Klever blockchain protocol. Prior to 1.7.20, the default-open GET /log WebSock