OpenSSH 10.3 修复了 Shell 注入与多个 SSH 安全问题
OpenSSH 项目于 2026 年 4 月 2 日发布了 10.3 和 10.3p1 版本，修复了一个 shell 注入漏洞，并引入了多项安全加固变更，管理员在升级前应仔细审阅这些变更。最值得关注的安全修复针对的是 -J（ProxyJump）命令行选项中的 shell 注入漏洞。在此版本之前，通过命令行 -J 或 -oProxyJump="..." 传递的用户名和主机名未经验证 ...
谷歌溯源发现@Axios供应链攻击是朝鲜黑客所为 只为窃取加密钱包
昨天知名开源库 @Axios 遭到黑客攻击，黑客通过某种方式劫持开发者的 NPM 账号并发布携带恶意代码的版本，这个开源库每月下载量高达 3 亿次，可见此次供应链攻击造成的影响非常大。人工智能项目 OpenClaw AI 机器人也同样需要使用 @Axios 开源库，昨天蓝点网发布安全提醒后有部分用户自查，发现部署环境已经被感染木马需要 ...
黑客组织SilverFox利用日本年度税务申报和组织变更的季节，针对日本制造业和其他企业发动定向钓鱼攻击
日本已进入年度纳税申报和组织变革季，在此期间，企业会产生大量合法的财务和人力资源相关信息。一个名为Silver Fox的威胁参与者正在积极利用这一繁忙时期，针对日本制造商和其他企业开展有针对性的鱼叉式网络钓鱼活动。正在进行的活动使用令人信服的网络钓鱼诱饵，这些诱饵与违反税收法规、工资调整、工作岗位变更和员工持 ...
Vim 模型行绕过漏洞允许攻击者执行任意操作系统命令
最新发现的 Vim 文本编辑器高危漏洞会使用户面临在操作系统上执行任意命令的风险。该漏洞编号为 CVE-2026-34982，它利用模型行沙箱绕过漏洞，当受害者打开一个特制的文件时，该漏洞就会被触发。安全研究人员“dfwjj x”和 Avishay Matayev 发现了一个漏洞链，该漏洞链会影响 9.2.0276 之前的 Vim 版本。Vim 项目于 2026 年 ...
思科遭到供应链攻击泄露内部及客户产品源代码 目前正在大规模轮换凭证
3 月份开源的漏洞扫描器 Trivy 遭遇攻击并向使用该工具的下游项目投毒，攻击者利用恶意 GitHub Action 插件感染多个企业的内部环境，随后窃取内部环境中的敏感数据例如各种云凭证。知名科技公司思科也在这轮供应链攻击中受损，攻击者利用恶意的 GitHub Action 从思科的构建和开发环境中窃取凭据和数据，包括部分开发者设备 ...
Google Cloud Vertex AI平台漏洞可致攻击者访问敏感数据
人工智能代理正迅速成为企业工作流程中不可或缺的一部分，但同时也引入了新的攻击面。安全研究人员最近发现了Google Cloud Platform的Vertex AI Agent Engine中存在一个重大漏洞。通过利用默认权限范围，攻击者可以将已部署的AI代理武器化为“双重间谍”，秘密窃取数据并破坏云基础设施。利用默认权限核心问题在于与已部署A ...
UCenter_Home横跨三个版本的鸡肋注入漏洞
这个注入从1.2版本就存在，08年末在大家广泛使用1.5版本的时候要搞个uchome的站，于是看了下源码找到这个点，写了个没用的exp藏一年多了一直丢硬盘没发，前几天看了下2.0版本看到依旧存在，还跟flyh4t说要不要公布呢。既然xhming公布了，我也说下吧。估计很多大牛也做为后备0day雪藏很久了吧。首先说鸡肋，两个原因导致：1是漏洞的存在必须开启全局变量，即register_globals为on；2是基于 ...
T00ls.Com版权所有。T00ls所有原创文章未经管理团队许可，禁止一切形式的转载。当前正在使用CDN加速。
Copyright © 2008 - 2026 T00ls All Rights Reserved.