SUSE Manager曝高危漏洞，攻击者可远程无认证获取客户端root权限
Part01漏洞概述SUSE Manager管理平台存在一个严重安全漏洞（CVSS评分9.8），攻击者无需身份验证即可在所有客户端上实现远程代码执行（RCE, Remote Code Executio
阅读全文大华摄像头漏洞可遭远程入侵，用户需立即升级固件
Part01漏洞概述Bitdefender网络安全专家在大华（Dahua）智能摄像头中发现严重漏洞，攻击者可借此远程完全控制设备。虽然厂商已发布补丁，但用户仍需尽快升级固件以确保安全。这些摄像头广泛应
阅读全文具备反分析能力的新型XWorm V6变种正在攻击Windows用户
网络安全研究人员发现，XWorm恶意软件的最新变种XWorm V6.0已在野外传播，该变种具备先进的反分析能力和增强的规避技术，对全球Windows用户构成重大威胁。Part01恶意软件传播机制分析这
阅读全文金刃组织利用新型攻击链释放RedLoader，多重组合规避检测
Sophos安全分析师发现，网络犯罪团伙GOLD BLADE（金刃）采用了一种新型组合感染技术来投放其定制化RedLoader恶意软件。研究人员指出，这种攻击序列此前从未被公开披露，它将多种已知的规避
阅读全文三大MCP攻击面，揭示四种AI防护体系构建方式
Part01灵活性与风险并存CISO的MCP安全挑战随着自主AI（Agentic AI）的发展，CISO们必须重视模型上下文协议（Model Context Protocol，MCP）的安全问题。尽管
阅读全文微软详解防御间接提示注入攻击的技术方案
微软近日公布了一套纵深防御策略，旨在应对企业环境中大型语言模型（LLM）面临的最严峻安全威胁——间接提示注入攻击。该公司的多层次防护方案结合了预防技术、检测工具和影响缓解策略，可有效防范攻击者在LLM
阅读全文TP-Link Archer C50路由器曝安全漏洞，硬编码DES密钥可解密敏感配置
Part01漏洞概述CERT协调中心（CERT/CC）发布安全公告，披露TP-Link Archer C50路由器存在编号为CVE-2025-6982的漏洞。该漏洞源于路由器固件中使用了硬编码的DES
阅读全文SonicWall发布紧急安全通告，SSL VPN高危漏洞可导致DoS攻击
知名网络安全解决方案提供商 SonicWall 近日披露了其 SonicOS 防火墙操作系统 SSL VPN 接口中存在的一个高危漏洞（CVE-2025-40600）。该漏洞 CVSS 评分为 7.5
阅读全文19款主流浏览器遭新型信息窃取木马SHUYAL攻击，窃取登录凭证
网络安全领域近期出现一款名为SHUYAL的新型高级信息窃取木马，其凭证窃取能力展现出前所未有的攻击广度。该恶意软件针对19款不同网络浏览器的登录凭证实施窃取，攻击范围涵盖Google Chrome、M
阅读全文LG Innotek摄像头漏洞可使攻击者获取管理员权限
Part01核心发现研究人员在LG Innotek的LNV5110R摄像头型号中发现严重安全漏洞，网络犯罪分子可利用该漏洞完全控制受影响设备。美国网络安全和基础设施安全局（CISA）于2025年7月2
阅读全文macOS Sploitlight漏洞曝光，攻击者可窃取苹果AI缓存数据
Part01漏洞概述微软威胁情报部门最新披露的macOS漏洞（编号CVE-2025-31199）允许攻击者绕过苹果隐私控制机制，访问包括Apple Intelligence缓存文件在内的敏感用户数据。
阅读全文Python tarfile模块漏洞可致恶意压缩包引发拒绝服务攻击
Part01漏洞概述Python标准库中的tarfile模块新近曝出编号为CVE-2025-8194的高危漏洞（CVSS评分7.5），该漏洞会导致处理恶意压缩包的应用陷入无限循环，进而引发拒绝服务（D
阅读全文无问AI模型：超实用的网安实战全能助手
从 ChatGPT 真正走进大众视野，到 Deepseek 等国产模型接连崛起，AI 已经不是“遥远的新技术”了。对于我们这些常年泡在电脑前的技术人来说，AI 不只是个工具，很多时候它已经成了“第二大
阅读全文全球智能建筑与工业系统告急，Niagara框架曝高危漏洞
网络安全研究人员近期发现Tridium公司Niagara框架存在十余个安全漏洞，攻击者在特定条件下可通过同一网络入侵系统。Nozomi Networks实验室在上周发布的报告中指出："当Niagara
阅读全文GitHub Action组件高危命令注入漏洞影响超5000个代码库
Part01漏洞概述GitHub 热门 Action 组件 tj-actions/branch-names 曝出高危命令注入漏洞（编号 CVE-2025-54416，CVSS 评分 9.1），影响超过
阅读全文热门JavaScript库"is"等软件包遭npm供应链攻击植入后门
轻量级 JavaScript 实用工具库 "is" 是 NPM 平台上的热门项目，每周下载量超过 220 万次。然而在 2025 年 7 月 19 日，该库开发者遭遇钓鱼攻击导致账户凭证泄露，攻击者借
阅读全文新型AI生成Linux恶意软件Koske现身威胁环境
Part01专为加密货币挖矿设计的AI产物网络安全公司Aquasec研究人员发现，新型Linux恶意软件Koske疑似借助人工智能技术开发，专门用于加密货币挖矿活动。该恶意代码通过rootkit技术和
阅读全文TP-Link NVR 安全更新：命令注入漏洞可能导致远程代码执行
Part01漏洞概述TP-Link 近日发布安全公告，警告其 VIGI NVR1104H-4P V1 和 VIGI NVR2016H-16MP V2 两款网络视频录像机（NVR）设备存在两个关键的操作
阅读全文新加坡网安评级悖论，优异企业却悉数遭入侵
尽管新加坡市值百强企业中有91%获得网络安全A级评级，但这些公司去年全部遭遇了供应链攻击。SecurityScorecard报告揭示，仅5%企业遭受直接入侵，而第四方风险正成为新型威胁。Part01评
阅读全文FreeBuf周报 | 美国黑帽大会聚焦AI安全；亚马逊AI编程助手Q遭植入破坏性代码
各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、一周好文，保证大家不错过本周的每一个重点！📸美国黑帽大会聚焦AI安全：攻防博弈进入实战阶段🤖黑客向亚马逊AI
阅读全文谷歌Chromium输入验证零日漏洞正遭攻击者利用
美国网络安全与基础设施安全局（CISA）发布紧急预警，威胁攻击者正在积极利用谷歌Chromium浏览器引擎中的高危漏洞（CVE-2025-6558）。该漏洞影响所有基于Chromium内核的浏览器，包
阅读全文美国黑帽大会聚焦AI安全：攻防博弈进入实战阶段
随着AI驱动的威胁不断升级，安全研究人员和道德黑客正在重塑AI安全与企业防护的边界。这种不断演变的威胁态势正促使各组织重新思考传统架构，加速采用能够应对漏洞的自适应框架。Part01AI攻防战成为大会
阅读全文小火炬SRC实战案例分享：MCP服务架构的原生攻击
小火炬SRC二期课程已正式开课！ 🔥新增海量独家漏洞挖掘思路，不玩虚的！话不多说，先抛一个刚实战验证的“新攻击面”给大家尝尝鲜 👇1什么是MCP？放干货之前，先给“开机小白”做个科普。MCP（Mode
阅读全文嘉宾公布｜联想全球安全实验室高级安全专家Ivan确认出席WAIC2025-斗象AI产业技术安全论坛
左右滑动查看更多联想全球安全实验室高级安全专家Miguel Ivan Fernandez Tovar（Ivan）确认出席WAIC2025-斗象科技AI产业技术安全论坛！作为联想全球安全实验室的核心成员
阅读全文亚马逊AI编程助手Q遭植入破坏性代码事件剖析
Part01恶意代码通过官方更新传播据媒体报道，一名黑客成功向亚马逊AI编程助手Q的某个版本植入了破坏性系统指令，这些代码随后通过官方更新分发给用户。未经授权的代码指示该AI代理以系统清理程序模式运行
阅读全文半导体巨头AMD新型漏洞影响多款CPU，计时攻击可导致数据泄露
半导体巨头AMD近日警告称，其多款芯片组存在新型漏洞，可能导致信息泄露风险。这种被称为"瞬态调度攻击"（Transient Scheduler Attacks，TSA）的攻击方式，会通过CPU在特定微
阅读全文Linux内核NFT子系统曝高危"双重释放"漏洞可致本地提权
Linux内核的NFT（netfilter）子系统中的pipapo集合模块被发现存在严重的"双重释放"（double-free）漏洞。该高危安全缺陷允许低权限攻击者通过特制的netlink消息触发内核
阅读全文麦当劳AI招聘工具漏洞导致6400万求职者数据泄露
麦当劳旗下AI招聘工具McHire存在重大安全缺陷，暴露了6400万份求职申请。调查发现，不安全的直接对象引用（IDOR）漏洞与弱默认凭证共同导致了大规模个人数据泄露，开发方Paradox.ai已迅速
阅读全文