OpenAI承认数据泄露事件：合作伙伴遭钓鱼攻击

OpenAI与数据分析平台Mixpanel近日发布联合声明称，由于黑客入侵Mixpanel系统，OpenAI客户数据遭到泄露。此次事件导致OpenAI API门户的用户档案信息被窃取，但ChatGPT

聊聊LNK文件在授权安全测试中的一点应用

有时候，最有效的安全测试，就是从最寻常的地方入手。比如，一个大家每天都会双击的.LNK快捷方式文件，都有可能存在安全风险。据互联网文章研究人员发现，“攻击者不断利用 Windows 快捷方式 (.LN

攻击者利用物联网漏洞部署新型ShadowV2恶意软件

2025年10月下旬，伴随全球AWS服务中断事件，一场代号为ShadowV2的新型恶意软件攻击活动浮出水面。该高级威胁通过利用物联网设备漏洞构建僵尸网络，专门实施分布式拒绝服务（DDoS）攻击。其快速

遗留Python包中的漏洞代码可通过域名劫持攻击Python包索引

现代开发环境中，遗留代码中潜藏的漏洞往往带来难以察觉的安全风险。近期，Python生态中就暴露出一个典型案例：与构建工具 zc.buildout 配套使用的过时引导脚本，可能使用户面临域名劫持攻击。P

羊城相会，“产学研”三方大咖共话安全——腾讯安全沙龙（广州站）即将起航

当大模型从技术引擎演进为产业核心基础设施，大模型安全也在被重塑。安全不再是可选的“附加题”，而是决定了AI能否在实战场景中稳健落地、持续创造价值的“必答题”。在供应链风险暗藏、Agent智能体可信性存

攻击者在暗网兜售iOS 26全链0Day漏洞利用工具

一名自称"ResearcherX"的攻击者在知名暗网市场发布据称可针对苹果最新iOS 26操作系统的全链0Day漏洞利用工具。该卖家声称该漏洞利用工具利用了iOS消息解析器中的关键内存损坏漏洞。若该漏

Cobalt Strike 4.12发布：新增进程注入技术、UAC绕过与可定制C2选项

最新渗透测试框架Cobalt Strike迎来重大升级，新版引入增强型图形界面功能、REST API支持以及安全研究人员可用于攻击行动的新型规避技术。Part01全面升级的图形界面与核心功能Cobal

Next.js框架DoS漏洞仅需一次请求即可导致服务器崩溃

最新Next.js框架中新发现的一个高危漏洞，允许攻击者仅通过一次HTTP请求即可使自托管服务器崩溃，且执行攻击所需的资源几乎可以忽略不计。Part01漏洞技术分析该拒绝服务（DoS）漏洞由Harmo

JSONFormatter等在线代码编辑工具长期泄露数据，暴露数千组密码及API密钥

最新研究表明，包括政府部门、电信运营商和关键基础设施机构在内的多个敏感行业组织，会将密码与凭证信息粘贴至JSONFormatter、CodeBeautify等在线代码校验工具中。网络安全公司watch

2个真实场景验证：用对工具，渗透测试效率翻倍其实很简单

现在的系统越来越复杂，前端各种框架，后端一堆API，还有微服务架构。要是还靠纯手工测试，不仅累，还特别容易漏掉重要漏洞。本文分享两个实际测试中的场景，看看怎么用工具把那些重复性工作自动化，让我们能更专

攻击者利用新型黑产AI工具KawaiiGPT发起网络攻击

KawaiiGPT是一款免费恶意大语言模型（LLM），最早于2025年7月被发现，目前版本已升级至2.5。该工具为攻击者提供了生成钓鱼邮件、勒索软件说明文档和攻击脚本的能力，大幅降低了网络犯罪的技术门

零检出RelayNFC安卓恶意软件将手机变为远程读卡器

Cyble研究与情报实验室（CRIL）发现一场快速演变的NFC中继恶意软件活动。这种新发现的恶意软件家族被命名为RelayNFC，能够将受害者的安卓设备转变为远程读卡器，使攻击者无需物理接触银行卡即可

APT35攻击者组织内部文件泄露，暴露其攻击目标与方法

2025年10月，一次重大数据泄露事件曝光了APT35（又称"迷人小猫"）攻击者组织的内部运作细节。该网络攻击单位隶属于伊朗情报组织。数千份泄露文件显示，该组织对中东和亚洲地区的政府与企业实施系统性攻

Shai-Hulud蠕虫攻击波及2.5万余个代码库，通过npm预安装脚本窃取凭证

近日，多家安全厂商发出警报，指出npm软件包注册表正遭遇第二波大规模攻击，其手法与2025年9月曝光的“Shai-Hulud”事件高度相似。根据机构报告，已有数百个npm包遭篡改并植入恶意代码，波及超

Fluent Bit曝出五个高危漏洞，可导致云基础设施遭远程控制

网络安全研究人员在开源轻量级遥测代理 Fluent Bit 中发现了五个安全漏洞，攻击者可组合利用这些漏洞入侵并接管云基础设施。Oligo Security 在报告中指出，这些安全缺陷"允许攻击者绕过

代码注入漏洞威胁NVIDIA Isaac-GROOT机器人平台安全

近日，英伟达发布关键安全补丁，修复其Isaac-GR00T机器人平台中两个高危漏洞。该平台是专为机器人操控任务设计的基础模型。Part01漏洞概述与风险等级漏洞编号为CVE-2025-33183与CV

知名npm包Markdown to PDF曝CVSS 10分漏洞，可通过元数据实现JS注入

近日，广泛使用的npm包md-to-pdf （Markdown to PDF）被披露存在一个严重安全漏洞（ CVE-2025-65108 ）。该npm包每周下载量逾 4.7 万次，用于将 Markdo

强推一个永久的攻防演练、渗透攻防知识库

转发该文章到朋友圈集赞30个凭截图免费领取渗透知识库帮会会员1个月想跳槽面试，翻遍全网找大厂真题，要么是三四年前的旧题，要么零散得凑不成体系，连份能参考的面经都没有；护网演练到关键节点，急需某个漏洞的

Wireshark漏洞允许攻击者通过注入畸形数据包导致程序崩溃

Wireshark 基金会已为其广泛使用的网络协议分析工具发布重要安全更新，修复了多个可能导致拒绝服务状态的漏洞。最新版本 4.6.1 专门针对 Bundle Protocol version 7（B

vLLM高危漏洞可致远程代码执行（CVE-2025-62164）

vLLM新披露的高危漏洞允许攻击者仅通过提交恶意提示嵌入（prompt embeddings）即可导致服务器崩溃或可能执行任意代码。该漏洞编号为CVE-2025-62164，CVSS评分为8.8分，影

网络安全巨头CrowdStrike解雇向攻击者泄露内部系统信息的员工

网络安全巨头CrowdStrike证实，已解雇一名涉嫌向知名攻击者组织泄露内部系统敏感信息的内部人员。Part01内部截图遭Telegram泄露这起事件于周四晚间至周五上午曝光，攻击者组织“Scatt

Grafana修复CVSS 10.0分高危漏洞：SCIM配置缺陷可致权限提升

Grafana近日发布安全更新，修复了一处CVSS 10.0分安全漏洞CVE-2025-41115。该漏洞在特定配置下可能引发权限提升或用户身份冒充风险。Part01技术详情该漏洞编号为CVE-202

每周PDF资源：域内漏洞和利用；跨域攻击分析与防御；url跳转挖掘；kafka集群扩容零数据丢失；25年网络安全意识培训

朝鲜黑客组织Kimsuky与Lazarus联手利用0Day漏洞攻击全球关键行业

朝鲜两个最危险的黑客组织Kimsuky和Lazarus已联手发起协同攻击行动，威胁全球组织机构安全。这两个组织通过将社会工程学与0Day漏洞利用相结合的系统性攻击手段，窃取敏感情报和加密货币。Part

高危Windows图形组件漏洞：单张图片即可让黑客接管系统

微软Windows图形组件中存在一个高危远程代码执行漏洞，攻击者可通过特制JPEG图片完全控制系统。该漏洞CVSS评分高达9.8分，且无需用户交互即可触发，对全球Windows用户构成严重威胁。Par

FreeBuf周报 | 杀猪盘诈骗团伙借助AI助手扩大犯罪规模；Cloudflare服务中断致全球网络瘫痪

各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、一周好文，保证大家不错过本周的每一个重点！🐖杀猪盘诈骗团伙借助AI助手扩大犯罪规模🌦️Cloudflare服

FreeBuf培训平台致学员的一封信：你的权益与保障，平台用机制守护

AI被攻击怎么办？

一个未设防的AI接口，可能在一小时内被恶意调用上百万次。如果企业缺乏有效防护，攻击者只需一段自动化脚本，就能疯狂消耗企业算力，造成动辄百万元的损失。在这个智能与风险并存的时代，企业需要的不仅是强大的A

黑客论坛惊现微软Office 0Day RCE漏洞交易

网络安全社区近日拉响警报，黑客论坛上出现名为Zeroplayer的威胁行为者正在出售针对微软Office和Windows系统的0Day远程代码执行（RCE）漏洞，该漏洞还包含沙箱逃逸功能。据称该漏洞利

Ollama漏洞允许攻击者通过解析恶意模型文件执行任意代码

Part01漏洞概述GitHub最受欢迎的开源项目之一Ollama（拥有超过15.5万星标）曝出严重漏洞。该漏洞存在于软件解析模型文件的过程中，攻击者可利用此缺陷在运行易受攻击版本平台的系统上执行任意