- 博客(2966)
- 收藏
- 关注
RSS订阅转载 Grafana 修复可泄露用户数据的 AI 漏洞
简言之，攻击者将在受控的网页中隐藏恶意指令，并通过控制指令显示为无害的方式，将所要求的敏感数据返回给受攻击者控制的服务器。用户是毫不知情的触发者而非钓鱼攻击的目标，这就是为何攻击如此隐蔽的原因所在。该公司提到，研究员负责任地披露该漏洞后，Grafana“立即着手，与我们一起验证，并尽可能快地推出修复方案，保护用户的安全。Grafana Labs的首席信息安全官 Joe McManus 表示，Noma 公司的研究员从 Markdown 组件的图像渲染器中发现了一个问题，并“已被迅速修复”。
2026-04-10 14:10:39
25
转载 AI漏洞发现量激增，HackerOne 宣布暂停开源漏洞奖励计划
现在需做的是以投入漏洞发现的同等紧迫性，加大对漏洞修复能力的投入。对于开源项目的维护者来说，“分类审核疲劳”已经成为最大的挑战，他们为了反驳那些凭空捏造的漏洞，就要耗费数小时的开发时间。HackerOne 表示，他们现在的重点是寻找新的途径，以实现让漏洞发现与有效的修复工作相匹配的最初目标，“从而让有意义的发现成果能够为开源项目带来持久的安全改进”。自今年3 月27日起，该计划暂停接收新的漏洞提交报告，HackerOne 给出的原因是漏洞发现的速度与开源维护者修复漏洞的能力之间的失衡正日益加剧。
2026-04-10 14:10:39
45
转载 AI编程月产代码从2.5万到25万行：一场被忽视的“漏洞危机“
AI生成代码的风险不再局限于SQL注入、XSS等传统漏洞，更多表现为逻辑漏洞、幻觉代码、虚构API调用、权限配置错误等新型隐患，传统静态扫描工具无法识别业务逻辑缺陷，人工审核又被海量代码淹没，形成。落地效果显示，该体系让温氏股份漏洞发现效率提升3倍，高危漏洞拦截率超95%，人工审计工作量减少30%-40%，中等规模系统安全审查从2-3周缩短至3-5天，每年节省。Agents代码安全智能体等创新方案，为企业提供从检测、审计到修复、运营的全链路支撑，破解海量代码审计、AI生成代码漏洞、业务逻辑缺陷等核心难题。
2026-04-10 14:10:39
1
转载 已存在13年的Apache ActiveMQ 严重漏洞可用于远程执行命令
研究人员指出，最新披露的漏洞风险不容小觑，并援引了其他已被黑客用于真实攻击的 ActiveMQ 高危漏洞。研究人员提到，“我们建议所有运行 ActiveMQ 的组织机构优先处理该漏洞，因为 ActiveMQ 一直是真实攻击场景中被反复利用的目标，而且针对它的利用及后渗透方法已经相当成熟。触发该漏洞通常需要经过 Jolokia 的身份认证，但由于另一个漏洞 CVE-2024-32114（该漏洞导致 API 在没有访问控制的情况下被暴露）的存在， 6.0.0 至 6.1.1 版本无需进行认证。
2026-04-09 18:37:49
53
转载 CISA：须在周日前修复已遭利用的 Ivanti EPMM 漏洞
当地时间本周一 CISA 将该漏洞纳入已知被利用漏洞目录（KEV），并根据《约束性操作指令 22-01》（BOD 22-01）的要求，责令联邦民事行政部门 (FCEB) 机构在 4 月 11 日周六午夜前完成 EPMM 系统的补丁修复。美国网络安全与基础设施安全局（CISA）要求联邦政府机构在四天内完成系统加固，以防范 Ivanti Endpoint Manager Mobile（EPMM）中已在今年1月份遭实际利用的一个高危漏洞CVE-2026-1340。本文由奇安信编译，不代表奇安信观点。
2026-04-09 18:37:49
57
转载 GitHub 开源软件仓库遭 AI 自动化供应链攻击
在“prt-scan”攻击活动中，攻击者首先扫描使用 GitHub Actions 中 pull_request_target 触发器的仓库，然后复刻这些仓库，创建分支，将恶意代码隐藏在一次看似常规的更新中，进而诱骗项目自动运行该代码。不过有趣的是，Wiz 指出，尽管恶意载荷设计得颇为宏大，但实际的攻击实现却很粗糙，表明攻击者并未完全理解 GitHub 的权限模型。随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。
2026-04-07 18:07:00
14
转载 Fortinet 紧急修复已遭利用的 FortiClient EMS 严重漏洞
Fortinet 公司告警称：“Fortinet 已发现该漏洞遭在野利用，并敦促受影响客户尽快安装针对 FortiClient EMS 7.4.5 和 7.4.6 版本的热补丁。该漏洞由网络安全公司 Defused 发现，后者认为该漏洞是一个预认证 API 访问绕过漏洞，可导致攻击者完全绕过身份验证与授权控制。本周一，美国网络安全和基础设施安全局 (CISA) 将CVE-2026-35616 纳入已知遭利用 (KEV) 清单，并要求联邦民事行政部门 (FCEB) 在当地时间4月9日12点之前修复该漏洞。
2026-04-07 18:07:00
61
转载 Progress ShareFile 漏洞可用于发动预认证 RCE 攻击
安全公司 watchTowr 的研究人员在企业级安全文件传输解决方案 Progress ShareFile 的 5.x 分支所包含的存储区域控制器（SZC）组件中，发现了一个身份验证绕过漏洞（CVE-2026-2699）和一个远程代码执行漏洞（CVE-2026-2701）。通过利用第二个漏洞（CVE-2026-2701），攻击者可以滥用文件上传和解压功能，将恶意的ASPX网页后门放置在应用程序的webroot目录中，从而在服务器上实现远程代码执行。本文由奇安信编译，不代表奇安信观点。觉得不错，就点个 “
2026-04-03 17:52:05
75
转载 Vertex AI 漏洞暴露谷歌云数据和非公开制品
具体而言，研究人员发现，与使用 Vertex AI 的 Agent Development Kit（ADK）构建的已部署 AI 代理相关联的“按项目、按产品服务代理”（P4SA），在默认情况下被授予了过多权限。不过，研究发现这些凭证缺乏访问这些暴露的存储桶所需的必要权限。在通过 Agent Engine 部署 Vertex 代理后，对该代理的任何调用都会调用谷歌的元数据服务，并暴露服务代理的凭证，以及托管 AI 代理的谷歌云 (GCP) 项目、AI 代理的身份和托管该 AI 代理的机器的权限范围。
2026-04-02 18:09:13
37
转载 libpng 官方参考库中的这两个严重漏洞已存在30年之久
第一个漏洞CVE-2026-33636，针对的是使用 Neon SIMD 指令的 ARM/AArch64 架构中用于性能优化的代码。至于第二个释放后使用漏洞，建议开发者审查在 png_read_info() 和 png_read_update_info() 阶段之间调用 png_free_data() 的应用程序模式。像 png_set_tRNS 和 png_set_PLTE 这样的函数会在两个不同结构体之间共享同一个堆分配的缓冲区。随后的转换操作会读取——有时甚至写入——这块已被释放的内存。
2026-04-02 18:09:13
32
转载 Axios npm 包遭投毒，发动供应链攻击
目前尚不清楚在这近三小时的暴露窗口期内，受到了此次供应链攻击影响的下游项目的数量。谷歌威胁情报集团（GTIG）首席分析师 John Hultquist表示，此次 Axios 包入侵事件的幕后黑手是一个被内部追踪为 UNC1069 的朝鲜威胁行动者，该组织以攻击“中心化交易所（CEX）、金融机构的软件开发者、高科技公司以及风险投资机构的个人”而为人所知。随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。数字化时代，软件无处不在。
2026-04-01 18:36:03
70
转载 Claude Code源代码遭泄露
据称，已发布的 @anthropic-ai/claude-code npm 包中包含一个源映射（.map）文件，该文件引用了完整、未压缩的 TypeScript 源代码，这些代码可直接以 ZIP 压缩包的形式从 Anthropic 自家的 R2 云存储桶中下载。遭泄露的代码库包含了 Claude Code 完整的 src/ 目录，共计约 1900 个文件，超过 512000 行代码，采用严格 TypeScript 编写，使用了 Bun 运行时和 React + Ink 终端 UI 框架。
2026-04-01 18:36:03
126
转载 Grafana 多个严重漏洞可用于实现 RCE
在未打补丁的情况下，为主动防御 DoS 漏洞，管理员应将 Grafana 部署在高可用环境中，确保快速自动恢复。此外，部署 Nginx 或 Cloudflare 等可靠的反向代理，严格限制输入请求的负载大小，可有效阻断内存耗尽这一攻击路径。该漏洞可导致攻击者直接向服务器的文件系统写入任意文件，可与其它攻击途径结合，实现完整的远程代码执行。第二个漏洞CVE-2026-27880（CVSS评分7.5），是一个高危级别的拒绝服务（DoS）漏洞，影响 OpenFeature 校验端点。觉得不错，就点个 “
2026-03-31 18:05:37
70
转载 CISA要求三天内修复这个严重的 F5 BIG-IP 漏洞
虽然该要求仅适用于联邦机构，但CISA督促所有私有组织机构优先修复该漏洞，保护自身网络安全。当为虚拟服务器配置 BIG-IP APM 访问策略时，就易接收到构造的恶意流量。美国网络安全和基础设施局 (CISA) 正式将影响 F5 BIG-IP 系统的严重远程代码执行漏洞CVE-2025-53521（CVSS评分9.8）纳入“已知遭利用漏洞 (KEV)”分类表。F5 BIG-IP 是政府和企业数据中心的主干，因此使这些数据中心“成为恶意网络人员的常见攻击向量”。持久性访问：安装后门，重启后仍然存在。
2026-03-30 18:12:00
57
转载 n8n 两个严重 RCE 漏洞利用使工作流沦为后门
拥有创建工作流权限且通过身份验证的用户可以利用此漏洞直接从 n8n 主机服务器读取本地文件，或实现完整的远程代码执行，或导致实例完全被接管。第二个漏洞是位于 GSuiteAdmin 节点参数中常见但影响巨大的原型污染漏洞CVE-2026-33663。安全研究人员披露了 n8n 中的两个严重漏洞CVE-2026-33660和CVE-2026-33663（CVSS评分均为9.4）。n8n 是一款免费开源的工作流自动化工具，用于弥合低代码速度与全代码灵活性之间的差距。n8n出现新漏洞，可用于执行系统命令。
2026-03-30 18:12:00
66
转载 美国 FCC 以国家安全为由，禁用外国生产的新路由器
美国必须拥有安全且可信的路由器。根据该判定，战争部或国土安全部应通知联邦通信委员会，说明相关路由器型号已获得有条件批准，且不会对国家安全构成不可接受的风险，这些设备将继续获得联邦通信委员会的设备授权。FCC宣布称：“被列入‘覆盖名单’的新设备，如外国制造的消费级路由器，将无法获得联邦通信委员会的授权，因此禁止进口至美国使用或销售。基于这一判定以及特朗普总统的2025年国家安全战略，FCC 更新了其“覆盖名单”，将所有在国外生产的路由器列入其中，并指出目前美国家庭中正在使用的设备不受影响。
2026-03-27 17:51:42
41
转载 OpenAI 发布AI安全漏洞奖励计划
—涵盖第三方提示注入和数据外泄场景，即攻击者控制的文本能够可靠地劫持受害者的AI代理（包括Browser、ChatGPT 智能体及类似的代理型产品），从而执行有害操作或泄露敏感用户数据。该漏洞奖励计划旨在补充 OpenAI 公司现有的安全漏洞奖励计划，任何存在重大滥用和安全风险的问题甚至是这些问题并非传统安全漏洞的漏洞报告均可提交。OpenAI 公司在对传统漏洞披露进行激励的同时，也对关注安全性的研究给予奖励，从而有效地为针对AI的威胁建模建立一个结构化的框架。本文由奇安信编译，不代表奇安信观点。
2026-03-27 17:51:42
95
转载 TP-Link：速修复这个严重的路由器认证绕过漏洞
CISA于9月将另外两个TP-Link漏洞（CVE-2023-50224和CVE-2025-9377）列入其已知被利用漏洞目录，Quad7僵尸网络一直在利用这些漏洞入侵易受攻击的路由器。此外，该公司还修复了两个命令注入漏洞（CVE-2025-15518和CVE-2025-15519），这些漏洞使拥有管理员权限的攻击者能够执行任意命令。本周，美国联邦通信委员会也更新了其“涵盖名单”，将所有外国制造的消费级路由器列入其中，以“对国家安全的不可接受风险”为由，禁止在美国销售美国以外制造的新路由器。
2026-03-26 18:22:45
110
转载 Citrix：尽快修复这两个 NetScaler 漏洞
网络安全公司 watchTowr 表示：“不幸的是，许多人会意识到这听起来与 2023 年被广泛利用的‘CitrixBleed’漏洞以及随后于 2025 年披露的‘CitrixBleed2’变体相似，这两个漏洞过去和现在都持续在真实攻击中被积极利用。该公司还修补了 CVE-2026-4368，该漏洞影响配置为网关（SSL VPN、ICA Proxy、CVPN、RDP proxy）或 AAA 虚拟服务器的设备，可能使在目标系统上拥有低权限的攻击者以低复杂度利用竞争条件漏洞，从而导致用户会话混淆。
2026-03-26 18:22:45
78
转载 热门 PyPI 包 LiteLLM 遭投毒，窃取凭据和认证令牌
研究人员提到，“一旦被触发，payload 就会执行三阶段攻击：窃取凭据（SSH密钥、云令牌、Kubernetes 机密、密币钱包和 .env 文件）、尝试通过将特权 pod 部署到每个节点的方式在 Kubernetes 集群中横向移动，以及安装一个持续运行的 systemd 后门，用于轮询获取额外的二进制文件。随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。消息人士表示，被盗设备约为50万台，其中许多是重复的。
2026-03-25 12:06:23
40
转载 日增百万行代码！温氏股份如何依托AI筑牢开发安全防线
因此，“把每分钱花到刀刃上”，是集团始终秉承的理念。温氏股份近20%的AI生成代码占比，让这一需求更为迫切，而AI+代码卫士的落地，成功打造了“AI开发+AI审计”的安全闭环，让研发人员在享受AI开发效率的同时，还能确保“AI辅助开发不减安全”。温氏股份AI+代码卫士项目的落地，实现了代码安全管理的全方位升级，不仅有效解决了此前的各类安全痛点，更推动了开发流程的优化与效率的提升，实现了安全与效能的两者兼得，从安全、管理、运营多个维度为集团数字化转型保驾护航，更成为AI时代代码安全管理的重要实践。
2026-03-25 12:06:23
36
转载 马自达员工和合作伙伴个人数据遭泄露
发现此事后，公司迅速向日本内阁府下属的个人信息保护委员会进行了报告，并实施了相应的安全措施，同时与外部专业机构合作开展了调查。除向主管部门报告外，马自达还在其IT系统上实施了额外的安全措施，包括减少网络暴露面、应用安全补丁、加强对可疑活动的监控，以及推行更严格的访问策略。尽管马自达此前从未正式确认过数据泄露事件，但Clop勒索软件团伙于2025年11月将马自达公司官网（Mazda.com）及马自达美国官网（MazdaUSA.com）列入其数据泄露网站，声称入侵了这家日本汽车制造商及其美国子公司。
2026-03-24 18:12:12
41
转载 QNAP QVR Pro 严重漏洞可导致系统遭远程访问
QVR Pro 2.7.x版本用户必须立即安装最新补丁，确保网络附加存储环境的安全。该漏洞源自QVR Pro应用程序中的一个关键功能缺少身份验证检查，由FuzzingLabs的安全研究人员发现并报告。CVE-2026-22898如遭成功利用，可导致攻击者直接未授权访问运行 QVR Pro服务的 QNAP 系统。威联通（QNAP）发布安全公告，修复了QVR Pro监控软件中的一个严重漏洞CVE-2026-22898，可导致远程未认证攻击者获得对受影响系统的未授权访问权限。本文由奇安信编译，不代表奇安信观点。
2026-03-24 18:12:12
53
转载 Trivy供应链攻击触发CanisterWorm 在47个 npm 包中自传播
对于"deploy.js"，攻击者必须使用窃取的npm令牌执行该独立脚本，以将恶意版本的npm包推送到注册表，但新变体将此功能整合到"index.js"中的findNpmTokens()函数内，而该函数在postinstall阶段运行，用于从受害者机器上收集npm认证令牌。值得注意的是，Wiz公司也曾将类似的基于youtube[.]com的终止开关与被木马化的Trivy二进制文件（版本0.69.4）联系起来，该文件通过另一个Python投放器（"sysmon.py"）联系同一个ICP容器。
2026-03-23 18:19:14
51
转载 Oracle 紧急修复 Identity Manager 和 Web Services Manager 中的严重RCE漏洞
对于运行受影响产品不受支持版本的组织机构，建议升级到受支持的版本，因为根据该公司的生命周期支持政策，补丁仅提供给处于“高级支持”或“扩展支持”阶段的版本。Oracle Identity Manager是一个广泛使用的身份治理平台，而Oracle Web Services Manager则负责Web服务的安全策略执行——两者都是大型企业和政府环境中的关键基础设施组件。而在Oracle Web Services Manager中，该漏洞位于Web Services Security模块内。觉得不错，就点个 “
2026-03-23 18:19:14
51
转载 Jenkins 严重漏洞导致CI/CD服务器易受RCE攻击
除了这些核心修复方案外，Jenkins 还修复了 LoadNinja 插件（v2.1及之前版本）中的敏感数据泄露漏洞CVE-2026-33003和CVE-2026-33004。最直接的威胁是高危的任意文件创建漏洞CVE-2026-33001，影响 Jenkins 2.554和之前版本以及 LTS 2.541.2和之前版本。这些版本在提取 .tar 或 .tar.gz 文档时未能安全处理这些符号链接，从而导致构造的文档能够将文件写入文件系统上的任意位置，仅受运行 Jenkins 的用户文件系统访问权限限制。
2026-03-20 18:08:10
91
转载 Atlassian Bamboo 高危RCE漏洞威胁 CI/CD 环境安全
作为众多软件开发生命周期的基石，Bamboo 一旦遭入侵，可能导致恶意代码被注入下游软件产品，因此安装此补丁成为 IT 安全团队的首要任务。尽管需要认证设置了一定的门槛，但其对系统机密性、完整性和可用性具有"高"度影响的潜力，使其成为一个严重问题。Atlassian 提醒其 Bamboo Data Center 用户注意一个高危远程代码执行漏洞CVE-2026-21570（CVSS评分8.6），可导致攻击者夺取对开发环境的控制权。该漏洞影响范围相当广泛，波及Data Center 产品的多个主要发布周期。
2026-03-20 18:08:10
38
转载 IP KVM 中存在9个严重漏洞，可用于获得未认证root访问权限
2025 年 7 月，俄罗斯网络安全厂商 Positive Technologies 在 ATEN International 的交换机中发现了五个漏洞（CVE-2025-3710、CVE-2025-3711、CVE-2025-3712、CVE-2025-3713 和 CVE-2025-3714），这些漏洞后续可能为拒绝服务或远程代码执行服务。CVE-2026-32291（CVSS 评分：7.6）- GL-iNet Comet KVM 存在通用异步收发传输器（UART）root 访问漏洞（正在计划修复）。
2026-03-19 18:29:23
44
转载 Ubunntu 高危漏洞可导致攻击者获得根权限
snap-confine 通过创建沙箱来管理 snap 应用的执行环境，而 systemd-tmpfiles 则负责自动清理超过设定时限的临时文件和目录（例如 /tmp、/run 和 /var/tmp）。研究人员提到，该漏洞"可导致低权限本地攻击者，通过两个标准系统组件——snap-confine 和 systemd-tmpfiles 的交互作用，提权至完全的 root 访问权限。研究人员表示："在默认配置下，systemd-tmpfiles 被调度用于删除 /tmp 目录中的过期数据。
2026-03-19 18:29:23
48
转载 File Browser 满分漏洞可用于完全控制管理员权限
该漏洞源于该平台的注册处理程序“盲目应用”了这些默认设置——包括管理权限——而没有任何服务器端检查来确保公开注册者不会被提升为管理员。安全研究人员提醒用户称，热门开源自托管云存储解决方案 File Browser的注册系统中存在一个严重的逻辑漏洞CVE-2026-32760（CVSS评分10分），可自动将完全的管理权限授予任何注册的新用户。关于该漏洞的安全公告提到，“注册处理程序盲目地将所有默认设置——包括 Perm.Admin——应用于新用户，没有任何服务器端防护措施来从自注册帐户中移除管理员权限。
2026-03-18 17:55:31
58
转载 简单的自定义字体渲染即可投毒 ChatGPT、Claude、Gemini 等 AI 系统
攻击者可以将这两个视图之间的空间武器化。LayerX建议AI供应商实施双模式渲染与差异分析，将自定义字体视为潜在威胁面，扫描基于CSS的内容隐藏技术（例如接近零的不透明度以及与背景色相同的文本），尤其在无法验证页面的完整渲染上下文时，避免给出确定性的结论。同时，将另一个独立的编码载荷渲染为清晰可见的、巨大的绿色文本，诱导用户在自已的机器上执行反向Shell。公司的研究人员发现一种新型攻击技术利用了AI网页助手的一个根本性盲点：浏览器为用户呈现的内容与AI工具实际从底层HTML读取的内容之间存在差异。
2026-03-18 17:55:31
40
转载 2026 Pwn2Own 柏林大赛公布目标和奖金
大赛规定，在本类别实施的攻击尝试必须从测试下的目标发起。如选手能够逃逸宿主操作系统并在虚拟化目标中获得任意代码执行权限且在由相同虚拟化目标管理的单独虚拟机上获得在宿主操作系统中的任意代码执行权限，则可额外获得5万美元的赏金，因此 ESXi 漏洞可获得的赏金可高达20万美元，不过此处的额外赏金进针对 KVM 和 ESXi。不过需要注意的是，与权限无关的界面伪造或虚假展示、未突破安全边界的模型越狱或提示词暑促以及需要在非安全模式或无权限模式触发漏洞的情况，不在本类别覆盖范围内。AWS 也成为大赛的联合赞助商。
2026-03-17 17:22:45
43
转载 CISA：Wing FTP 已遭利用漏洞可泄露服务器路径
研究员Ahrens在GitHub发布的概念验证（PoC）利用代码中指出，"/loginok.html"端点未能正确验证"UID"会话cookie的值。该研究员补充道："成功利用该漏洞可使经过身份验证的攻击者获取应用程序的本地服务器路径，从而有助于利用CVE-2025-47812等漏洞进行攻击。本周一，美国网络安全和基础设施安全局 (CISA) 将影响 Wing FTP 的中危漏洞CVE-2025-47813纳入已遭利用漏洞 (KEV) 分类表中，并表示该漏洞已遭利用。本文由奇安信编译，不代表奇安信观点。
2026-03-17 17:22:45
46
转载 谷歌修复已遭利用的两个新 0day
自2026年以来，这是谷歌修复的第二个和第三个已遭利用 Chrome 0day 漏洞。去年，谷歌共修复8个已遭利用 0day漏洞，其中很多均由谷歌威胁分析团队报送。这两个漏洞由谷歌发现并在两天内向 Stable Desktop 渠道的用户发出通告，新版本已推出：Windows (146.0.7680.75)、macOS (146.0.7680.76) 和 Linux (146.0.7680.75)。谷歌紧急修复已遭利用的两个高危 Chrome 漏洞CVE-2026-3909和CVE-2026-3910。
2026-03-16 17:59:19
55
转载 Veeam 修复位于备份服务器上的多个 RCE 漏洞
CVE-2026-21668是一个限制绕过漏洞，可导致经身份认证的域用户操作位于 Backup Repository 上的任意文件，威胁备份完整性。CVE-2026-21672是一个本地提权漏洞，影响基于 Windows 的 Veeam Backup & Replication 服务器，可导致具有有限本地访问权限的攻击者提升系统权限。CVE-2026-21667和前一个漏洞类似，可导致经身份认证的域用户在备份服务器上触发远程代码执行漏洞，可能导致系统遭完全攻陷。Veeam 修复备份服务器中的RCE漏洞。
2026-03-16 17:59:19
45
转载 n8n 严重漏洞可导致RCE和存储凭据暴露
n8n还指出，CVE-2026-27493与类似CVE-2026-27577的表达式沙箱逃逸漏洞结合使用时，可能"升级为在n8n主机上的远程代码执行"。这两个漏洞由 Pillar Security 公司的研究员 Eilon Cohen 发现并报送，他表示，“CVE-2026-27577是表达式编译器中的一个沙箱逃逸漏洞：抽象语法树重写器中的一个缺失案例让进程能够未经转换而溜过，使任何经过身份验证的表达式都能获得完整的RCE能力。维护者提醒称："这些变通方案不能完全消除风险，应仅作为短期缓解措施使用。
2026-03-13 18:29:03
52
转载 思科修复多个高危 IOS XR 漏洞
其中最严重的漏洞是CVE-2026-20040和CVE-2026-20046（CVSS评分8.8），它们可被用于以 root 权限执行任意命令或者获得设备的管理员控制权限。周三，思科还宣布修复位于 IOS XR IS-IS 多实例路由特性中的漏洞CVE-2026-20074（CVSS评分7.4），可被用于重启 IS-IS 流程。对入口 IS-IS 数据包的输入验证不充分可导致未经身份验证的邻近攻击者向易受攻击的设备发送特殊构造的数据包，导致 IS-IS 进程重启，从而导致拒绝服务条件。觉得不错，就点个 “
2026-03-13 18:29:03
64
转载 奇安信发布代码安全智能体，打造“专家级大脑+多智能体协同”闭环
结合奇安信在软件供应链领域近10年积累的深厚领域知识库与准确关联建模，Qcode Agents能够自动生成AI应用的软件物料清单，清晰追溯开源模型的使用，精准识别AI应用中的各种“隐形依赖”，让AI应用中的各种供应链安全风险无处遁形。该产品不仅全面覆盖AI供应链新要素，更将十余年一线实战经验代码化，让智能体真正“看懂”代码背后的业务逻辑，从根源上解决AI“幻觉”与逻辑盲区。融为一体，不仅让AI“看懂代码”，更是要能“理解业务”、“经验赋能”、“闭环处置”，为企业构筑一个安心、高效、可靠的代码安全体系。
2026-03-12 19:51:17
97
转载 HPE：严重的 AOS-CX 漏洞可导致管理员密码重置
在此一个月前，HPE 修复了StoreOnce磁盘备份与重复数据删除解决方案中的八个漏洞，其中包括另一个严重级别的身份验证绕过漏洞和三个远程代码执行漏洞。在这些漏洞中，最严重的是一个严重的身份验证绕过漏洞（CVE-2026-23813），可导致未经授权的攻击者在低复杂度攻击中利用该漏洞重置管理员密码。HPE表示：“已发现AOS-CX交换机基于Web的管理界面存在一个漏洞，可能允许未经认证的远程攻击者绕过现有的身份验证控制。HPE尚未发现公开的概念验证利用代码，也无证据表明攻击者正在野外利用这些漏洞。
2026-03-11 20:17:10
51
转载 微软：AI已用于攻击的每个阶段
微软威胁情报团队发布报告提到，攻击者正在将生成式AI工具用于广泛的任务中，包括侦察、钓鱼、基础设施开发、恶意软件创建以及入侵后的活动。微软提醒称， “在这些应用中，AI起到了力量倍增器的作用，减少了技术阻碍并加速了执行过程，而人为操作者仍保留对目标、攻击对象以及部署决策的控制权。此外，鉴于这些由AI驱动的攻击与传统网络攻击相似，防御者应侧重于检测异常凭据使用、强化身份系统以抵御钓鱼攻击，并保护可能在未来攻击中成为目标的AI系统。用AI攻击AI：Ray AI开源框架中的老旧漏洞被用于攻击集群。
2026-03-10 18:11:48
46
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人