本文详细披露了趋势科技 TEW-713RE 无线扩展器中一个 CVSS 评分为 9.8 的高危命令注入漏洞（CVE-2025-15471），揭示了攻击者仅需发送一个 HTTP 请求即可完全控制设备的严重安全问题，是当前物联网设备安全设计缺陷的典型示例。
–
SecTodayBot
• 3 days ago
0
本文揭示了SmarterMail中一个未经身份验证的远程代码执行漏洞（CVE-2025-52691），其CVSS评分为10.0，攻击者可利用路径穿越漏洞上传恶意文件并获取服务器控制权，这对依赖该软件的组织构成严重威胁，具有极高的技术参考价值。
–
SecTodayBot
• 3 days ago
0
本文详细揭示了TinyOS 2.1.2中一个全局缓冲区溢出漏洞，该漏洞源于printfUART实现中未对字符串长度进行检查的strcat()调用，可能导致严重的内存破坏和设备崩溃，具有高度现实威胁。
–
SecTodayBot
• 3 days ago
0
本文揭示了 RIOT OS 的 ethos 工具中一个严重的基于栈的缓冲区溢出漏洞，该漏洞源于未对传入的串行帧数据进行边界检查，攻击者可通过构造输入导致堆栈溢出并可能实现任意代码执行。此漏洞分析详尽，具有重要的安全警示意义。
–
SecTodayBot
• 3 days ago
0
本文详细披露了京东云多款 NAS 路由器中一个高危漏洞（CVE-2025-66848），攻击者可借此绕过身份验证并获取系统 root 权限，CVSS 评分为 9.8，凸显其极高的安全风险。该漏洞的利用链清晰展示了从信息泄露到系统完全沦陷的全过程，对网络安全实践具有重要警示意义。
–
SecTodayBot
• 1 week ago
0
本文重点揭示了Google Chrome浏览器WebView标签组件中的高危漏洞CVE-2026-0628，该漏洞可能导致攻击者绕过安全限制，具有严重的安全威胁。文章详细介绍了漏洞的影响、修复措施及更新建议，对广大用户和安全研究人员具有重要参考价值。
–
SecTodayBot
• 1 week ago
0
本文详细披露了Linux内核中一个高危的UAF漏洞（CVE-2025-38352）及其完整利用链Chronomaly，成功实现Android设备上的提权攻击，为内核安全研究提供了重要参考。
–
SecTodayBot
• 1 week ago
0
流行的工作流自动化平台 n8n 被发现存在一个高危的未认证远程代码执行漏洞（CVE-2026-21858），攻击者可利用 Form Webhook 节点中的 Content-Type 解析问题，在无需认证的情况下实现对服务器的完全控制，包括任意文件读取、凭证窃取和系统命令执行。目前全球已有约 100,000 台服务器受到影响，其中 26,512 个实例已暴露在互联网上。n8n 已发布修复版本 1.121.0，强烈建议用户立即升级以防止基础设施被入侵。
–
SecTodayBot
• 1 week ago
0
本文揭示了一种利用Windows内核数据结构隐藏恶意进程的新技术，即使在PatchGuard等现代安全机制的保护下仍能有效运行。其核心亮点在于通过精确时序和对进程终止流程的深度理解，实现了从运行到终止全程的隐蔽性，这对系统安全防护提出了新的挑战。
–
SecTodayBot
• 1 week ago
0
2025年12月24日，Trust Wallet Chrome扩展程序遭到恶意更新攻击，导致约700万美元加密资产被盗。攻击者通过泄露的Chrome Web Store API密钥发布恶意v2.68版本，将用户助记词（mnemonic）泄露至攻击者控制的服务器api.metrics-trustwallet.com。恶意代码伪装成PostHog分析工具，借此绕过安全检测。此外，攻击者还部署钓鱼域名如fix-trustwallet.com，进一步骗取用户凭证。Trust Wallet确认事件后，立即发布修复版本v2.69，并承诺全额赔偿受害者。此次事件凸显了加密货币行业在供应链安全、凭证管理和浏览器扩展部署中的重大漏洞。
–
SecTodayBot
• 2 weeks ago
0
LangChain 核心库中发现一个严重漏洞（CVE-2025-68664），攻击者可利用序列化注入窃取敏感环境变量并执行恶意代码。该漏洞源于对包含保留 'lc' 键的用户控制字典处理不当，允许恶意反序列化操作，进而导致敏感信息泄露和潜在的远程代码执行。该漏洞影响多个版本的 LangChain，CVSS 评分为 9.3，已被命名为 LangGrinch。官方已发布修复版本 0.3.81 和 1.2.5，并建议用户升级以避免风险。此次漏洞事件凸显了 AI 框架在安全设计上的薄弱环节，尤其是在反序列化机制和默认设置方面。
–
SecTodayBot
• 2 weeks ago
0
MongoBleed（CVE-2025-14847）是一个影响 MongoDB 的严重未认证内存泄露漏洞，攻击者无需身份验证即可远程读取服务器内存中的敏感数据，包括凭证、API 密钥和系统日志。该漏洞源于 MongoDB 在处理 zlib 压缩数据时的逻辑错误，允许攻击者通过构造恶意数据包提取未初始化的堆内存。漏洞已在全球范围内被积极利用，影响超过 87,000 个暴露的 MongoDB 实例。PoC 利用代码和检测工具已公开发布，MongoDB 也已发布修复补丁。美国网络安全与基础设施安全局（CISA）已将该漏洞加入已知被利用漏洞（KEV）目录，并要求受影响系统尽快修复。
–
SecTodayBot
• 2 weeks ago
0
本文提出了AutoAdv框架，通过自动化生成对抗性提示词，系统性地测试和揭示了大型语言模型在多轮对话中的安全漏洞，其高达86%的攻击成功率揭示了当前安全机制的严重缺陷，具有重要的研究和警示价值。
–
SecTodayBot
• 2 weeks ago
0
本文深入分析了Linux内核中的CVE-2025-37803漏洞，详细描述了漏洞的技术细节、影响范围及修复方案，为读者提供了及时且实用的安全更新信息。
–
SecTodayBot
• 2 weeks ago
0
本文揭示了蓝牙耳机芯片中未受保护的诊断协议（RACE）可能导致用户隐私泄露及手机被劫持的重大安全隐患，为当前流行的真无线耳机设备敲响了警钟。
–
SecTodayBot
• 2 weeks ago
0
本文深入剖析了即便在持续模糊测试（fuzzing）多年的开源项目中，仍然可能存在未被发现的严重漏洞的原因，揭示了模糊测试并非万能，仍需人工监督和改进测试覆盖率。文章通过GStreamer、Poppler和Exiv2三个案例，展示了模糊测试在现实中的局限性，对安全研究人员和开发者具有重要参考价值。
–
SecTodayBot
• 2 weeks ago
0
本文揭示了一个影响全球数十万台边缘设备的高危零日漏洞（CVE-2025-54322），首次通过自主固件分析和多代理技术发现，并展示了无需认证即可通过单个HTTP请求实现远程代码执行的攻击链，技术细节详实，对工业与企业安全具有重要警示意义。
–
SecTodayBot
• 2 weeks ago
0
在 systemd v256 及以上版本中，当 openssh-server 包安装在支持 vsock 的虚拟机中时，systemd 会自动在全局网络命名空间中启动一个 af_vsock 套接字的 sshd 监听器。这一行为可能导致容器或沙箱中的恶意代码绕过网络隔离，访问主机 SSH 守护进程，并实现横向移动，带来严重的安全风险。vsock 提供了一个难以审计的通信通道，可能被现有威胁利用。该问题引发了 Linux 安全社区的广泛讨论，包括 oss-sec 邮件列表中的漏洞披露计划。为缓解此风险，建议通过内核命令行参数 `systemd.ssh_auto=no` 禁用自动启动行为，并对现有安全框架如 AppArmor 和 SELinux 的局限性进行评估。
–
SecTodayBot
• 2 weeks ago
0
近期，GnuPG 被发现存在多个关键安全漏洞，涉及签名验证绕过、明文恢复、内存损坏、路径遍历和远程代码执行等问题。这些漏洞主要源于 OpenPGP 协议实现中的解析逻辑缺陷和规范模糊性，而非密码算法本身的安全性问题。其中包括一个被标识为 CVE-2025-68973 的远程代码执行漏洞，可能允许攻击者在目标系统上执行任意代码。漏洞影响范围广泛，涉及 GnuPG 2.5.13 和 2.5.14 等版本。部分漏洞已被修复，但仍有若干问题未完全解决。GnuPG 开发者正在通过 oss-sec 邮件列表进行讨论，并提出了改进设计和替代方案的建议，例如简化签名流程或采用 Sequoia 等替代工具。此事件引发了对 GnuPG 在自动化系统和软件更新工具中安全性的严重担忧，并推动了密码学软件开发中对代码复杂性和规范清晰性的重新审视。
–
SecTodayBot
• 2 weeks ago
0
WatchGuard 发布了关于其 Firebox 防火墙中一个关键零日漏洞（CVE-2025-14733）的紧急安全公告。该漏洞存在于 Fireware OS 的 IKEv2 实现中，允许未经认证的远程攻击者通过越界写入漏洞执行任意代码。该漏洞的 CVSS 评分为 9.3，已被攻击者在现实攻击中积极利用，用于实现初始访问、建立持久性并进行横向移动。Shadowserver 基金会发现全球约 125,000 台 Firebox 设备暴露于互联网，面临攻击风险。WatchGuard 已发布补丁修复该漏洞，并提供入侵指标（IoCs）和缓解策略，包括固件升级和网络配置调整。CISA 已将该漏洞纳入其关键漏洞目录（KEV），并敦促用户立即采取措施。
–
SecTodayBot
• 2 weeks ago
0
Tags
Tools Malware Windows Vulnerability Browser Web Attack Android iOS Linux Pentest Conference macOS Network IoT Wireless Fuzzing Reverse Engineering Virtualization Defend CTF Crypto Data Breach Programming Machine Learning Firmware Report Forensics Mitigation PoC SCADA Backdoor Side Channel Blockchain Threat Intelligence Hardware Exploit Supply Chain Bug Bounty Privacy Power Analysis