TP-Link NVR 安全更新：命令注入漏洞可能导致远程代码执行
Part01漏洞概述TP-Link 近日发布安全公告，警告其 VIGI NVR1104H-4P V1 和 VIGI NVR2016H-16MP V2 两款网络视频录像机（NVR）设备存在两个关键的操作
阅读全文新加坡网安评级悖论，优异企业却悉数遭入侵
尽管新加坡市值百强企业中有91%获得网络安全A级评级，但这些公司去年全部遭遇了供应链攻击。SecurityScorecard报告揭示，仅5%企业遭受直接入侵，而第四方风险正成为新型威胁。Part01评
阅读全文FreeBuf周报 | 美国黑帽大会聚焦AI安全；亚马逊AI编程助手Q遭植入破坏性代码
各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、一周好文，保证大家不错过本周的每一个重点！📸美国黑帽大会聚焦AI安全：攻防博弈进入实战阶段🤖黑客向亚马逊AI
阅读全文谷歌Chromium输入验证零日漏洞正遭攻击者利用
美国网络安全与基础设施安全局（CISA）发布紧急预警，威胁攻击者正在积极利用谷歌Chromium浏览器引擎中的高危漏洞（CVE-2025-6558）。该漏洞影响所有基于Chromium内核的浏览器，包
阅读全文美国黑帽大会聚焦AI安全：攻防博弈进入实战阶段
随着AI驱动的威胁不断升级，安全研究人员和道德黑客正在重塑AI安全与企业防护的边界。这种不断演变的威胁态势正促使各组织重新思考传统架构，加速采用能够应对漏洞的自适应框架。Part01AI攻防战成为大会
阅读全文小火炬SRC实战案例分享：MCP服务架构的原生攻击
小火炬SRC二期课程已正式开课！ 🔥新增海量独家漏洞挖掘思路，不玩虚的！话不多说，先抛一个刚实战验证的“新攻击面”给大家尝尝鲜 👇1什么是MCP？放干货之前，先给“开机小白”做个科普。MCP（Mode
阅读全文嘉宾公布｜联想全球安全实验室高级安全专家Ivan确认出席WAIC2025-斗象AI产业技术安全论坛
左右滑动查看更多联想全球安全实验室高级安全专家Miguel Ivan Fernandez Tovar（Ivan）确认出席WAIC2025-斗象科技AI产业技术安全论坛！作为联想全球安全实验室的核心成员
阅读全文亚马逊AI编程助手Q遭植入破坏性代码事件剖析
Part01恶意代码通过官方更新传播据媒体报道，一名黑客成功向亚马逊AI编程助手Q的某个版本植入了破坏性系统指令，这些代码随后通过官方更新分发给用户。未经授权的代码指示该AI代理以系统清理程序模式运行
阅读全文半导体巨头AMD新型漏洞影响多款CPU，计时攻击可导致数据泄露
半导体巨头AMD近日警告称，其多款芯片组存在新型漏洞，可能导致信息泄露风险。这种被称为"瞬态调度攻击"（Transient Scheduler Attacks，TSA）的攻击方式，会通过CPU在特定微
阅读全文Linux内核NFT子系统曝高危"双重释放"漏洞可致本地提权
Linux内核的NFT（netfilter）子系统中的pipapo集合模块被发现存在严重的"双重释放"（double-free）漏洞。该高危安全缺陷允许低权限攻击者通过特制的netlink消息触发内核
阅读全文麦当劳AI招聘工具漏洞导致6400万求职者数据泄露
麦当劳旗下AI招聘工具McHire存在重大安全缺陷，暴露了6400万份求职申请。调查发现，不安全的直接对象引用（IDOR）漏洞与弱默认凭证共同导致了大规模个人数据泄露，开发方Paradox.ai已迅速
阅读全文微软紧急修复高危蠕虫级RCE漏洞，威胁全网Windows系统
微软已发布关键安全更新，修复编号为CVE-2025-47981的高危漏洞。该漏洞存在于SPNEGO扩展协商(NEGOEX)安全机制中，属于基于堆的缓冲区溢出漏洞，影响多个Windows和Windows
阅读全文2025网安行业优质播客精选集⑧
01 专访fooyii | 那个曾经想“黑”进世界的少年，成了数字时代的“筑城者”本期节目：年少时的梦想如同夜空中闪烁的星辰，遥遥地挂在天边，有人在追逐的路上因为横亘在现实中的距离放弃，也有人一路追光
阅读全文两行代码植入恶意功能，VS Code扩展遭供应链攻击
一场精心策划的供应链攻击通过仅需两行代码的恶意 GitHub 拉取请求，成功入侵了 ETHcode——一款面向以太坊开发的流行 Visual Studio Code 扩展。ReversingLabs
阅读全文大规模浏览器劫持活动，已感染超230万用户
一场大规模浏览器劫持活动通过Google Chrome和Microsoft Edge上的18款恶意扩展程序，已感染超过230万用户。尽管这些扩展拥有认证标识和高评分，却暗中部署监控代码，引发对浏览器扩
阅读全文原子级macOS信息窃取程序升级：新增后门实现持久化控制
臭名昭著的 Atomic macOS Stealer（AMOS，原子级 macOS 窃取程序）恶意软件近期完成危险升级，全球 Mac 用户面临更严峻威胁。这款与俄罗斯有关联的窃密程序首次植入后门模块，
阅读全文盛夏庆典，FreeBuf甲方群帮会9.9元季卡限时抢→
甲方群帮会50% OFFSALE夏日狂欢FreeBuf甲方群帮会持续运营900+天坚持日更8—10篇知识笔记沉淀5000+甲方群干货内容涵盖前沿报告、安全资讯、大咖专访、话题讨论、行业大会PPT、议题
阅读全文Git项目修复三大漏洞：远程代码执行、任意文件写入与缓冲区溢出
Part01漏洞概述Git项目近日发布更新，修复了影响Git v2.50.0及之前版本的三个重大漏洞，包括：1. 仓库克隆过程中可能引发远程代码执行（RCE）的漏洞2. 允许任意文件写入的漏洞3. W
阅读全文僵尸网络（Botnet）解析：架构、攻击方式与防御策略
Part01僵尸网络概述僵尸网络是由大量被黑客控制的"僵尸"设备组成的网络集群，网络犯罪分子利用其大规模传播恶意软件或发动分布式拒绝服务（DDoS）攻击。根据Shared Assessments北美指
阅读全文Linux启动漏洞可绕过现代Linux系统的安全启动保护
现代Linux发行版存在一个重大漏洞，攻击者通过短暂物理接触即可利用initramfs（初始内存文件系统）操控绕过安全启动（Secure Boot）保护机制。该攻击利用系统启动失败时可访问的调试she
阅读全文赠书福利 | 《数据要素安全：新技术、新安全激活新质生产力》免费送
关注我们丨文末赠书Part.1数据是第五大生产要素通常我们所说的“满血”DeepSeek 671B，就意味着它包含了6710亿数据。因此，将数据要素化，通过经济手段提升数据流通和汇聚的规模与质量，能极
阅读全文新型BERT勒索软件多线程攻击，同时针对Windows、Linux及ESXi系统
趋势科技安全分析师发现，一个代号为BERT（内部追踪名Water Pombero）的新型勒索软件组织正在亚洲、欧洲和美国展开多线程攻击。该组织主要针对医疗保健、科技和会展服务行业，其活动范围显示其正成
阅读全文伪装成AI工具的SEO投毒攻击瞄准8500多名中小企业用户
Part01恶意SEO推广传播Oyster木马加载器网络安全研究人员近日披露一起利用搜索引擎优化（SEO）投毒技术传播名为Oyster（又称Broomstick或CleanUpLoader）的已知木马
阅读全文Redis被曝三大严重安全漏洞，PoC代码已公开
Redis是一个高性能、灵活且易于扩展的键值存储数据库，适用于各种应用场景，可作为缓存、数据库和消息中间件等，具有出色的性能和稳定性。但近日，Redis数据库被曝存在三大严重安全漏洞。Part01漏洞
阅读全文强推一个永久的HW演练、渗透攻防知识库
又是一年HW月，全国各地的白帽子、甲乙方安全团队都已经就位开战。有人早早拿到情报、胸有成竹，有人却还在翻旧帖、拼凑工具库、找不到能直接上手的干货资源。临场打点被拖、攻防题一问三不知、0day刚爆就错过
阅读全文Web服务器面临认证前RCE与管理员接管风险，PoC已公开
Part01漏洞概况网络安全公司Synacktiv近日发布安全公告，披露了ScriptCase生产环境模块（即"prod console"）中两个可串联利用的漏洞，攻击者无需认证即可实现远程命令执行（
阅读全文伊朗加密货币运作蓝图：规避制裁与对抗监控体系曝光
上月，伊朗加密货币巨头Nobitex遭遇史无前例的网络攻击。虽然多数媒体报道聚焦于其热钱包被盗9000万美元，但事件背后隐藏着更为复杂的政治图景。TRM Labs最新分析报告指出，这起被归咎于黑客组织
阅读全文联想Windows目录可写文件漏洞可隐秘绕过AppLocker防护
研究人员在联想预装Windows操作系统中发现一个安全漏洞——Windows目录下的可写文件 MFGSTAT 可使攻击者绕过微软AppLocker安全框架。该漏洞影响所有采用默认Windows安装的联
阅读全文