安全动态

该漏洞已被列入「已知被利用」目录，存在在野利用风险。BeyondTrust Remote Support 认证绕过 由Spoofing 漏洞 | BeyondTrust Remote Support contains 认证绕过 由spoofing 漏洞 that 可能允许 remote 攻击者 perform 文件 operations 在 appliance. 建议优先排查受影响产品并应用官方补丁。

该漏洞已被列入「已知被利用」目录，存在在野利用风险。Fortinet 多个 产品s 路径穿越 漏洞 | FortiOS, FortiPAM, FortiProxy, 与 FortiSwitchManager conta在路径穿越 漏洞 that 可能允许 authenticated 攻击者 具有adm在profile 与 at least read-write perm 建议优先排查受影响产品并应用官方补丁。

该漏洞已被列入「已知被利用」目录，存在在野利用风险。Ahsay AhsayCBS 命令 注入 漏洞 | Ahsay AhsayCBS contains 命令 注入 漏洞 that 可能允许 remote 攻击者 执行 操作系统 命令s vimanipulati在的 random parameter 在 Replicati在Receiver c 建议优先排查受影响产品并应用官方补丁。

该漏洞已被列入「已知被利用」目录，存在在野利用风险。Cisco 安全 Email 网关 Relative 路径穿越 漏洞 | Cisco 安全 Email 网关 contains relative 路径穿越 漏洞 that 可能允许 unauthenticated, remote 攻击者 write arbitrary files 在 underlying 操作系统. 建议优先排查受影响产品并应用官方补丁。

该漏洞已被列入「已知被利用」目录，存在在野利用风险。Palo AlNetworks PAN-OS Code 注入 漏洞 | Palo AlNetworks PAN-OS contains code 注入 漏洞 that 可能允许 authenticated 攻击者 具有network access 执行 arbitrary code 具有root privileges 建议优先排查受影响产品并应用官方补丁。

该漏洞已被列入「已知被利用」目录，存在在野利用风险。Ivanti Connect 安全 认证绕过 由Spoofing 漏洞 | Ivanti Connect 安全 contains 认证绕过 由spoofing 漏洞 that allows remote unauthenticated 攻击者 执行 arbitrary 命令s. 建议优先排查受影响产品并应用官方补丁。

该漏洞已被列入「已知被利用」目录，存在在野利用风险。Microsoft Windows 命令 注入 漏洞 | Microsoft Windows Shell contains 命令 注入 漏洞 that 允许 unauthorized 攻击者 绕过 安全 feature over network. 建议优先排查受影响产品并应用官方补丁。

该漏洞已被列入「已知被利用」目录，存在在野利用风险。ISC BIND DatProcessing Errors 漏洞 | ISC BIND contains datprocessing errors 漏洞 that 可能允许 remote 攻击者s cause 拒绝服务 viTKEY queries. 建议优先排查受影响产品并应用官方补丁。

该漏洞已被列入「已知被利用」目录，存在在野利用风险。Apache Struts 命令 注入 漏洞 | Apache Struts contains 命令 注入 漏洞 that 可能允许 remote 攻击者s 执行 arbitrary code vimethod:prefix when Dynamic Method Invocati在enabled. 建议优先排查受影响产品并应用官方补丁。

该漏洞已被列入「已知被利用」目录，存在在野利用风险。Strapi Cleartext Storage 的敏感信息 漏洞 | Strapi contains cleartext storage 的敏感信息 漏洞 that 可能允许 攻击者s 具有access adm在panel discover sensitive user details vi query filter 建议优先排查受影响产品并应用官方补丁。

该漏洞已被列入「已知被利用」目录，存在在野利用风险。ONLYOFFICE Docs 服务器 路径穿越 漏洞 | ONLYOFFICE Docs contains 路径穿越 漏洞 that coccur when JWT used, vi/.. sequence 在image 上传 parameter 与 可能允许 面向远程代码执行. 建议优先排查受影响产品并应用官方补丁。

该漏洞已被列入「已知被利用」目录，存在在野利用风险。ProFTPD Improper Access Control 漏洞 | ProFTPD contains improper access control 漏洞 that 可能允许 remote 攻击者s read 与 write arbitrary files vi site cpfr 与 site cp命令s. 建议优先排查受影响产品并应用官方补丁。

该漏洞已被列入「已知被利用」目录，存在在野利用风险。Citrix NetScaler Improper Restricti在的Operations with在 Bounds 的Memory Buffer 漏洞 | Citrix NetScaler ADC (formerly Citrix ADC) 与 Citrix NetScaler 网关 (formerly Citr 建议优先排查受影响产品并应用官方补丁。

Summary missing comm在mercury_app/block_handler.py's BLOCKED_PATTERNS list causes blocklist fail cover /API/terminals endpoint. As result, any unauthenticated 攻击

Summary Before Langflow 1.10.3, MCP stdio transport launched whatever 命令 / args user put 在MCP 服务器 configuration, 具有no allowlist 与 (before 1.10.3) wrapped 在bash

安全相关开源仓库 Developer-Y/cs-video-courses，主要语言 多语言，约 83703 星，List 的Computer Science courses 具有video lectures.。近期热度较高，可用于学习或工具参考。

安全相关开源仓库 caddyserver/caddy，主要语言 Go，约 78154 星，Fast 与 extensible multi-platform HTTP/1-2-3 Web 服务器 具有automatic HTTPS。近期热度较高，可用于学习或工具参考。

安全相关开源仓库 usestrix/strix，主要语言 Python，约 69962 星，Open-source AI penetrati在testing tool find 与 fix your app’s vulnerabilities.。近期热度较高，可用于学习或工具参考。

安全相关开源仓库 x64dbg/x64dbg，主要语言 C++，约 49952 星，open-source user mode debugger 面向Windows. Optimized 面向reverse engineering 与 恶意软件 analysis.。近期热度较高，可用于学习或工具参考。

安全相关开源仓库 KeygraphHQ/shannon，主要语言 TypeScript，约 49113 星，Shann在AI pentester 面向Web 应用s 与 APIs. It analyzes your source code, identifies 攻击 vectors, 与 executes real 利用s prove vuln。近期热度较高，可用于学习或工具参考。

安全相关开源仓库 mitmproxy/mitmproxy，主要语言 Python，约 45749 星，interactive TLS-capable intercepting HTTP proxy 面向penetrati在testers 与 softwdevelopers.。近期热度较高，可用于学习或工具参考。

安全相关开源仓库 GyulyVGC/sniffnet，主要语言 Rust，约 41635 星，Comfortably monitor your network traffic 🕵️‍♂️。近期热度较高，可用于学习或工具参考。

安全相关开源仓库 The-Vibe-Company/quivr，主要语言 Go，约 39603 星，open-source engine that turns continuous content streams insearch 与 monitoring. Durable ingestion, hybrid search, alerts。近期热度较高，可用于学习或工具参考。

安全相关开源仓库 aquasecurity/trivy，主要语言 Go，约 38515 星，Find vulnerabilities, misconfigurations, secrets, SBOM 在containers, Kubernetes, code repositories, 云s 与 more。近期热度较高，可用于学习或工具参考。

安全相关开源仓库 lissy93/web-check，主要语言 TypeScript，约 35163 星，🕵️‍♂️ All-in-one OSINT tool 面向analysing any website。近期热度较高，可用于学习或工具参考。

安全相关开源仓库 OWASP/CheatSheetSeries，主要语言 JavaScript，约 33673 星，OWASP Cheat Sheet Series created provide concise collecti在的高危 value informati在在specific 应用 安全 topics.。近期热度较高，可用于学习或工具参考。

安全相关开源仓库 projectdiscovery/nuclei，主要语言 Go，约 32130 星，Nuclei fast, customizable 漏洞 scanner powered 由 global 安全 community 与 built 在simple YAML-based DSL, enabling collaborati在。近期热度较高，可用于学习或工具参考。

Coder 2.3.1 before 2.14.4, 2.15.x before 2.15.3, 与 2.16.0 before 2.16.1 contains open redirect 漏洞 在 登录 page because redirect query parameter improperly sanitize

Coder before 2.23.0 contains 会话 expirati在绕过 漏洞 that allows authenticated users reta在access after OIDC 令牌 expiry when no refresh 令牌 问题d. Users ckeep their APIKey

Missing Authorizati在漏洞 在Cozy Visi在Technologies Pvt. Ltd. SMS Alert Order Notifications sms-alert allows 利用ing Incorrectly Configured Access Control 安全 Levels.Th

FreeRDP 版本s 来自2.0.0 before 3.32.0 conta在heap 越界 write 在 服务器 hash-callback NTLM path that fails validate MIC offset. Unauthenticated 攻击者s csend 构造的 AUTHENTICATE_

FreeRDP 来自3.14.1 before 3.32.0 contains integer underflow 在 WinPR BMP writer, where mismatched stride calculati在passes SIZE_MAX - 3 Stream_Zero 面向sub-byte image

phpMyFAQ 3.2.0-alphbefore 4.1.9 与 4.2.0-alphbefore 4.2.0-betcontains 认证绕过 漏洞 that allows IdP-authenticated users skip TOTP two-factor authenticati在through Keycl

phpMyFAQ before 4.1.9 与 4.2.0-alphbefore 4.2.0-betdoes not require current 口令 when changing account e-mail 在 user control panel (UserController::更新Data, API/use

phpMyFAQ 来自4.2.0-alphbefore 4.2.0-betcontains missing authorizati在漏洞 在GroupController::deleteGroup() that omits privilege-level checks 在target groups. Authentic

phpMyFAQ 来自4.2.0-alpha.2 before 4.2.0-betlacks brute-force lockout 在 removeTwofactorConfig() 2Fremoval endpoint, allowing authenticated 攻击者s guess TOTP codes wi

phpMyFAQ before 4.1.9 与 4.2.0-alphbefore 4.2.0-betcontains account enumerati在漏洞 that allows unauthenticated 攻击者s confirm registered display names 与 emails vidis

phpMyFAQ 来自4.0.0 before 4.1.9 contains incorrect authorizati在漏洞 that allows delegated admins lacking editnews right modify news 由calling PUT /admin/API/news/更新,

phpMyFAQ 来自4.1.0 before 4.1.9 与 4.2.0-alphbefore 4.2.0-betcontains missing authorizati在漏洞 在 adm在dashboard that allows authenticated users without adm在rights vie