排序
仅需一个Header：价值$3000的HTTP Basic认证绕过漏洞分析
安全研究员ALR披露高危认证绕过漏洞，仅需添加Authorization: Basic请求头即可绕过整个认证系统，访问50余个API端点，赏金$3000。
54天前Zoho账户接管漏洞：一次点击如何导致全面失控
安全研究人员发现Zoho存在DOM XSS和PostMessage配置错误两处漏洞，可被利用直接接管用户账户，建议尽快修复。
53天前5040美元Twitter漏洞赏金：绕过电话号码/电子邮件限制的漏洞发现
安全研究员披露Twitter高危漏洞：攻击者可绕过用户隐私设置，通过电话/邮箱获取任意账号ID。540万用户数据被爬取并在暗网出售，漏洞源于安卓客户端授权流程，赏金5040美元。
51天前Google Chrome 爆出今年第5个在野0day漏洞 (CVE-2026-11645)
Google发布紧急安全更新，修复Chrome浏览器高危0day漏洞CVE-2026-11645。V8引擎越界内存访问，可远程代码执行，已野外利用。建议立即更新至149.0.7827.102/.103。
51天前他回来了：Nightmare Eclipse发布RoguePlanet零日打完补丁的Windows照样拿SYSTEM
Nightmare Eclipse再出手发布RoguePlanet零日漏洞，利用微软Defender竞态条件在打完2026年6月补丁的Windows系统上提权SYSTEM。附原版RCE三条攻击路径和BitLocker绕过细节。
50天前FortiSandbox双漏洞分析：未授权RCE与认证绕过实战（CVE-2026-39808/CVE-2026-39813）
Fortinet披露FortiSandbox两个CVSS 9.1高危漏洞，CVE-2026-39808未授权命令注入可直接RCE，CVE-2026-39813路径遍历绕过认证，攻击者可彻底接管沙箱。
46天前CVSS 10.0满分漏洞：Joomla JCE Editor未授权RCE（CVE-2026-48907）
JCE Editor插件CVSS 10.0满分漏洞，未认证攻击者可通过profiles.import端点直接上传PHP文件并执行命令。受影响版本1.0.0-2.9.99.4，补丁仅在2.9.99.5。
46天前微软365 Copilot致命漏洞：点击一次链接即可窃取企业数据
Varonis威胁实验室发现SearchLeak漏洞链，攻击者仅需发送一个链接，即可利用微软365 Copilot企业版搜索功能窃取受害者的邮件、日历、文件等敏感数据。
43天前LiteLLM漏洞链：低权限用户即可接管AI网关服务器
Obsidian Security发现LiteLLM代理中存在严重漏洞链，低权限账户可通过三个漏洞串联利用，最终获得完整管理员权限并在服务器上执行任意代码，综合CVSS评分高达9.9。
43天前SameSite Cookie绕过 + Web缓存欺骗：一次价值2000美元的漏洞挖掘
预订平台Web缓存欺骗漏洞分析，结合SameSite Cookie默认行为实现账户劫持，详解漏洞原理与利用链。
38天前libssh2 CVE-2026-55200：整数溢出导致的远程代码执行漏洞（POC已公开）
著名SSH客户端库libssh2被曝高危漏洞CVE-2026-55200，攻击者利用整数溢出绕过内存分配检查实现远程代码执行，POC已公开。
36天前CVE-2026-45504：微软Exchange SSRF任意文件读取漏洞，PoC已公开
微软Exchange Server曝出CVE-2026-45504严重SSRF任意文件读取漏洞，CVSS 8.8分，任意低权限用户均可利用，PoC代码已公开。
34天前