排序
全球首例”自主型”勒索软件问世：AI 全程操控无需人工介入，付赎金也无法恢复数据
安全公司 Sysdig 捕获全球首例 AI Agent 全程自主执行的勒索软件攻击。攻击者利用 Langflow 漏洞闯入后自动完成凭据窃取、横向移动和数据加密，且未保留解密密钥。
1个月前【视频】React 服务器函数原型污染 (RCE)
这个视频值得研究，主要是：当前现代 Web 框架（如 Next.js）中 服务器组件（RSC） 与 客户端运行时 之间序列化机制的安全性边界。 1. 漏洞基本信息 CVE 编号：CVE-2025-55...
4个月前LiteLLM漏洞链：低权限用户即可接管AI网关服务器
Obsidian Security发现LiteLLM代理中存在严重漏洞链，低权限账户可通过三个漏洞串联利用，最终获得完整管理员权限并在服务器上执行任意代码，综合CVSS评分高达9.9。
2个月前记一次IDOR漏洞挖掘：通过JS文件发现隐藏接口
某密码管理器应用存在IDOR漏洞，攻击者通过JS文件发现隐藏接口，成功越权查看其他用户的受信任设备信息，包括IP地址和加密密钥。
2个月前仅需一个Header：价值$3000的HTTP Basic认证绕过漏洞分析
安全研究员ALR披露高危认证绕过漏洞，仅需添加Authorization: Basic请求头即可绕过整个认证系统，访问50余个API端点，赏金$3000。
2个月前Zoho账户接管漏洞：一次点击如何导致全面失控
安全研究人员发现Zoho存在DOM XSS和PostMessage配置错误两处漏洞，可被利用直接接管用户账户，建议尽快修复。
2个月前【视频】一键式 NTLM 泄露漏洞
利用截图工具应用程序进行 NTLM 泄露。 概括此漏洞允许远程攻击者泄露受影响版本的截图工具应用程序用户的 NTLM 响应。利用此漏洞需要用户交互，即目标用户必须访问恶意页面或打开一个链接，该...
4个月前Zapscape：CVE-2026-64561 Linux内核KVM虚拟机逃逸漏洞深度分析
安全研究人员发现Linux内核KVM/x86漏洞Zapscape（CVE-2026-64561），可实现虚拟机逃逸到宿主机root。公开PoC已验证可用。
33天前WordPress 7.0.4紧急发布：Author+权限远程代码执行漏洞预警
WordPress 7.0.4紧急修复Author+权限RCE漏洞，CVE-2026-65640 CVSS 8.8分。攻击者只需上传恶意文件即可在服务器上执行代码，建议立即更新。
33天前CVE-2026-58231 SAP Commerce Cloud：CVSS 10.0未认证RCE，补丁3天就被野外利用
SAP Commerce Cloud Data Hub Adapter未认证RCE漏洞CVE-2026-58231紧急预警，CVSS 10.0，补丁发布3天已被野外利用。
31天前2026年8月补丁日：微软修复421个漏洞，3个零日
微软发布2026年8月补丁日安全更新，共修复421个漏洞，包括62个高危漏洞。同时披露3个零日漏洞，其中1个已被在野利用。
29天前微软365 Copilot致命漏洞：点击一次链接即可窃取企业数据
Varonis威胁实验室发现SearchLeak漏洞链，攻击者仅需发送一个链接，即可利用微软365 Copilot企业版搜索功能窃取受害者的邮件、日历、文件等敏感数据。
2个月前