文章列表
苹果将零点击RCE漏洞的最高赏金翻倍至 200 万美元
苹果扩大了漏洞赏金计划覆盖的攻击面，为单次点击的 WebKit 沙箱逃逸漏洞提供最高 30 万美元奖励，为无线近距离攻击漏洞提供 100 万美元奖励。该公司还推出了"目标标记"功能，允许研究人员证明远程代码执行和 TCC 绕过等顶级漏洞类别的可利用性，并在验证后获得更快的支付。并为 macOS 上无需用户交互
175 个恶意 npm 软件包攻击全球科技和能源公司，下载量达 26,000 次
Socket 的威胁研究团队发现了一个复杂的网络钓鱼活动，涉及 175 个恶意 npm 包，累计下载量超过 26,000 次。该活动被称为“Beamglea”，基于所有软件包的一致工件，代表了对 npm 公共注册表和 unpkg.com CDN 的新滥用，用于托管针对全球 135 多家工业、技术和能源公司的重定向脚本。这些软件包本身在安
Stealit 恶意软件通过游戏和 VPN 安装程序滥用 Node.js 的单一可执行功能
网络安全研究人员披露了名为Stealit的活跃恶意软件活动的详细信息，该活动利用 Node.js 的单可执行应用程序 (SEA) 功能来分发其有效负载。据 Fortinet FortiGuard 实验室称，部分版本还使用了开源 Electron 框架来传播恶意软件。据评估，该恶意软件通过上传到 Mediafire 和 Discord 等文件共享网站的伪
Linux 内核 ksmbd 文件系统漏洞PoC发布
安全研究员 Norbert Szetei 公布了针对 Linux 内核 ksmbd 文件系统模块中具备确定性的越界写入漏洞（CVE-2025-37947）的完整PoC。与先前依赖不可靠竞态条件或环境因素的 Ksmbd 漏洞不同，此利用程序可直接实现越界写入操作。该PoC在 Ubuntu 22.04.5 LTS 系统（内核版本 5.15.0-153-generic）上测试通过
新型间谍软件 ClayRat 通过虚假 WhatsApp 和 TikTok 应用攻击 Android 用户
一个名为ClayRat的 Android 间谍软件活动正在迅速发展，它利用 Telegram 频道和类似的钓鱼网站攻击俄罗斯用户，通过模仿 WhatsApp、Google Photos、TikTok 和 YouTube 等流行应用程序来诱骗用户安装这些应用程序。Zimperium 研究员 Vishnu Pratapagiri 在与 The Hacker News分享的一份报告中表示：“一
SpearSpray：专为AD环境设计的高级密码喷洒工具
# SpearSpray**SpearSpray** 是一款专为 Active Directory 环境设计的高级密码喷洒工具。它结合了通过 LDAP 进行用户枚举和基于模式的智能密码生成功能，从而通过 Kerberos 执行可控且隐秘的密码喷洒攻击。Github：https://github.com/sikumy/spearspray## 特征### 核心能力- **LDAP 集成**：通过 LDAP
新的 Quishing 攻击利用武器化的二维码瞄准微软用户
微软用户正面临一场新型的钓鱼活动，该活动利用恶意电子邮件中嵌入的武器化二维码。此次攻击于 2025 年 10 月初出现，利用了对基于二维码的身份验证和设备配对工作流程的信任，诱骗目标扫描提供信息窃取者二进制文件的代码。当 Gen Threat Labs 分析师注意到企业 Office 365 通知中存在冒充微软品牌的
WordPress Service Finder 主题存在严重漏洞，可绕过身份验证
威胁行为者正在积极利用影响 Service Finder WordPress 主题的严重安全漏洞，该漏洞使得未经授权访问任何帐户（包括管理员）并控制易受攻击的站点成为可能。该身份验证绕过漏洞编号为CVE-2025-5947（CVSS 评分：9.8），影响 Service Finder Bookings，这是与 Service Finder 主题捆绑在一起的 WordPres
Formbricks 存在高危漏洞 (CVE-2025-59934)，攻击者可通过伪造JWT令牌导致未授权的密码重置
问题源于不当的令牌验证逻辑。公告指出：“此漏洞源于令牌验证例程仅对JWT进行解码（jwt.decode ），而不验证其签名。电子邮件验证令牌登录路径和密码重置服务器操作均使用相同的验证器，该验证器不检查令牌的签名、过期时间、签发者或受众。”攻击者若获取受害者的user.id ，可构造带有alg: “none”
黑客声称 Discord 漏洞暴露了 550 万用户的数据
Discord 表示，他们不会向那些声称从该公司的 Zendesk 支持系统实例中窃取了 550 万独立用户数据的威胁行为者支付报酬，这些数据包括政府身份证和部分人的部分付款信息。该公司还反驳了有关此次数据泄露事件中泄露了 210 万张政府身份证照片的说法，称约有 70,000 名用户的政府身份证照片被泄露。虽然
