新闻资讯
新的 TETRA 无线电加密漏洞暴露执法通信
网络安全研究人员在陆地集群无线电 (TETRA) 通信协议中发现了一系列新的安全问题，包括其专有的端到端加密 (E2EE) 机制，该机制使系统容易受到重放和暴力攻击，甚至解密加密流量。上周，午夜蓝研究人员 Carlo Meijer、Wouter Bokslag 和 Jos Wetzels 在黑帽美国安全会议上介绍了这些漏洞的详细信息（称
配合参数污染实现绕过WAF的XSS攻击
>>(https://blog.ethiack.com/blog/bypassing-wafs-for-fun-and-js-injection-with-parameter-pollution)1. 将XSS载荷分散到多个HTTP参数可有效规避WAF检测2. 17种主流WAF配置中仅有3种能拦截复杂的参数污染攻击3. AI黑客机器人实现了100%的绕过成功率，可在数秒内发现简单漏洞可以用的框架必须是会将
WinRAR 零日漏洞遭积极利用 - 立即更新至最新版本
WinRAR 文件归档实用程序的维护人员发布了一个更新，以解决一个被积极利用的零日漏洞。该问题被标记为CVE-2025-8088（CVSS 评分：8.8），被描述为影响 Windows 版本工具的路径遍历案例，可通过制作恶意存档文件来获取任意代码执行。WinRAR在一份公告中表示：“提取文件时，以前版本的 WinRAR、Windows
沉浸式翻译出现重大安全问题 用户生成的包含敏感数据的快照泄露在网上
日前有网友发现沉浸式翻译扩展程序的部分用户数据暴露在互联网上，这些数据包含部分敏感内容例如加密货币钱包私钥甚至是企业 / 机构的商业合同等。严格来说此次问题并非安全漏洞而是沉浸式翻译提供的功能存在缺陷，即没有对快照链接进行保护导致搜索引擎爬虫可以直接抓取内容并将其防止互联网上公开索
基于 Linux 的联想网络摄像头漏洞可被远程利用，引发 BadUSB 攻击
网络安全研究人员披露了联想部分型号网络摄像头的漏洞，这些漏洞可能使其成为 BadUSB 攻击设备。Eclypsium 研究人员 Paul Asadoorian、Mickey Shkatov 和 Jesse Michael在与 The Hacker News 分享的一份报告中表示： “这使得远程攻击者可以秘密地注入击键并独立于主机操作系统发起攻击。”该固件安全
人工智能工具助长巴西网络钓鱼诈骗，Efimer 木马窃取 5,000 名受害者的加密货币
网络安全研究人员正在关注一项新的活动，该活动使用合法的生成人工智能 (AI) 驱动的网站构建工具（如 DeepSite AI 和 BlackBox AI）来创建模仿巴西政府机构的复制网络钓鱼页面，作为出于经济动机的活动的一部分。Zscaler ThreatLabz 表示，该活动涉及创建模仿巴西国家交通部和教育部的类似网站，然后诱
SocGholish 恶意软件通过广告工具传播；提供对 LockBit、Evil Corp 和其他恶意软件的访问权限
据观察，SocGholish 恶意软件背后的威胁行为者利用Parrot TDS 和 Keitaro TDS等流量分配系统 (TDS)来过滤并将毫无戒心的用户重定向到可疑内容。Silent Push在分析中表示： “他们运营的核心是一种复杂的恶意软件即服务 (MaaS) 模型，受感染的系统被出售给其他网络犯罪组织，作为初始接入点。”SocGholi
Firefox add-on 商店 发现 150 盗取加密货币的扩展程序
一个名为“GreedyBear”的恶意活动潜入 Mozilla 附加组件商店，利用 150 个恶意扩展程序攻击 Firefox 用户，并从受害者那里窃取了约 1,000,000 美元。该活动由 Koi Security 发现并记录，这些恶意扩展附加组件模仿了 MetaMask、TronLink 和 Rabby 等知名平台的加密货币钱包。这些addon最初以良性形式上
研究人员发现 Amazon ECS 中的 ECScape 漏洞可导致跨任务凭证盗窃
网络安全研究人员展示了亚马逊弹性容器服务（ ECS ）中的“端到端权限提升链”，攻击者可以利用该链进行横向移动、访问敏感数据并控制云环境。Sweet Security 研究员 Naor Haziz 将这一攻击技术命名为 ECScape，他今天在拉斯维加斯举行的美国黑帽安全会议上公布了这一研究成果。Haziz 在与 The Hacker
Cursor AI 代码编辑器漏洞可通过恶意 MCP 文件交换在批准后实现 RCE
该漏洞的编号为 CVE-2025-54136（CVSS 评分：7.2）Check Point Research 将该漏洞命名为MCPoison，因为它利用了软件处理模型上下文协议 (MCP) 服务器配置修改方式中的一个怪癖。Cursor在上周发布的公告中表示： “Cursor AI 中存在一个漏洞，攻击者可以通过修改共享 GitHub 存储库中已受信任的 MCP 配
