#security CVE-2025-6965
SQLite出现漏洞，有执行任意SQL语句权限的攻击者可以造成访问溢出。编者没看懂这个漏洞的原理。
值得注意的是这是一个由AI发现的漏洞。
https://nvd.nist.gov/vuln/detail/CVE-2025-6965

#security
NPM debug 包出现大新闻，任何安装/运行了这个包的电脑均应视为已失陷。

更新：
多个npm包的作者 Qix- 被钓鱼，npm账号失陷。黑客上传了多个有恶意代码的npm包。具体包列表可以在以下链接查看：https://github.com/debug-js/debug/issues/1005#issuecomment-3266868187

编者注：考虑到黑客动手的速度之快，可以认为是一次定向的钓鱼攻击。热门包的维护者应该考虑从TOTP转到FIDO2。

#security
CVE-2025-55182 React Server RCE
省流：

[...] allows unauthenticated remote code execution by exploiting a flaw in how React decodes payloads sent to React Server Function endpoints.

Next.js连带受害，请读者自行升级到最新版。

#security
Elysia 框架蹦出来一个原型链污染，一个Cookie config注入导致RCE
https://github.com/elysiajs/elysia/security/advisories/GHSA-hxj9-33pp-j2cc
https://github.com/elysiajs/elysia/security/advisories/GHSA-8vch-m3f4-q8jf

#security
本频道消息，近期某国内安全大厂有两位数的员工接到苹果通知他们的手机曾经遭受商业间谍软件入侵。

附：苹果对商业间谍软件入侵的说明

#security
Go 1.25.6 / 1.24.12 大冲击
CVE-2025-61728 zip解析拒绝服务
CVE-2025-61726 net/http 解析表单时可能占用过多内存
CVE-2025-68121 crypto/tls 逻辑错误
Config 中的会话恢复密钥可能意外跨越多个Config，错误地允许其他会话密钥恢复。
另外在恢复会话的过程中，只检查了最终证书的有效期，没有检查证书链上的其他证书有效期。此项问题一并修复。
CVE-2025-61731 CgoPkgConfig 没有正确过滤flags导致任意代码执行
CVE-2025-68119 工具链在执行版本控制工具时可能导致意外的代码执行
CVE-2025-61730 crypto/tls 在执行 TLS1.3 握手时可能收到多个加密等级的信息（比如 ClientHello 和 EncryptedExtensions），有些信息可能会在加密级别改变之前被处理造成轻微的信息泄露。

#security #CVE
Microsoft Windows 记事本命令注入漏洞(CVE-2026-20841)

近日，Microsoft 安全响应中心（MSRC）披露了 Windows 记事本应用存在一个高危命令注入漏洞（CVE-2026-20841）。该漏洞源于应用未能正确处理命令中的特殊字符（CWE-77），导致攻击者可通过构造恶意文本文件，诱使用户在联网状态下打开文件，从而触发远程代码执行（RCE）。
记事本在解析 Markdown 中的 file:/// 链接时，未对 URL 中的特殊字符（如 @ 端口、UNC 路径）进行充分过滤，导致攻击者可嵌入指向远程 WebDAV/SMB 共享的恶意路径。当用户点击链接且系统已关联可执行扩展名（如 .py、.jar）时，记事本将直接调用 ShellExecute 打开该远程文件，造成任意代码执行。

https://mp.weixin.qq.com/s/nEgpaIP8ooi2FUwhkGZRSw
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-20841

我们巨硬的记事本也能弹计算器了！

#security
Emacs在打开有 .git 文件夹目录里的文件时也有RCE

https://github.com/califio/publications/tree/main/MADBugs

#security
没修干净， zip.vim 打开一个zip文件时可能触发任意写入。请继续升级吧（

#security #tls #letsencrypt
Let's Encrypt 在他们的staging环境中开始模拟大规模撤销证书事件，有兴趣的可以去检查一下自己的acme客户端是否能正确处理ARI响应。
https://community.letsencrypt.org/t/lets-encrypt-2026-mass-revocation-simulation/245960

https://nvd.nist.gov/vuln/detail/CVE-2026-34197

Apache ActiveMQ 存在严重的远程代码执行（RCE）漏洞，认证攻击者可通过 Jolokia 接口注入恶意 discovery URI，利用 Spring 框架在配置校验前的初始化机制，在服务器 JVM 中执行任意命令。请尽快升级至 5.19.4 或 6.2.3 以上版本。

#security #spring

🔴 PackageKit 本地提权漏洞；请立即升级至 1.3.5。

- 修复版本 1.3.5 在约两小时前发布。
- PackageKit 是许多包管理器的后端，在 Ubuntu、Debian、Fedora 等发行版上被广泛应用；最早受影响版本 1.0.2 版本在 12 年前发布。
- 鉴于以上情况，目前大部分正在运行的 Linux 系统都受此漏洞影响，建议系统管理员及时更新。

CVSS: 8.8/10
Affect: [1.0.2, 1.3.4]

- GHSA-f55j-vvr9-69xv
- github.security.telekom.com/~

linksrc: https://t.me/bupt_moe/2712

#Security #PackageKit

#security
Python 包 elementary-data 遭到投毒，被投毒的版本号是 0.23.3 ，请自行检查并升级。
https://www.bleepingcomputer.com/news/security/pypi-package-with-11m-monthly-downloads-hacked-to-push-infostealer/

#security
DAEMON Tools 12.5.0.2421 ~ 12.5.0.2434 遭遇供应链攻击，在此期间执行过相关工具的电脑均可视为已失陷。
遭到攻击的用户应尽快重置电脑以及相关的账户密码。
https://securelist.com/tr/daemon-tools-backdoor/119654/

#security #CVE #Android
危险！Android 无线调试认证被绕过：0 点击获取 ADB Shell
Android ADB 曝出认证绕过高危漏洞（CVE-2026-0073，CVSS 3.1：8.8），攻击者通过构造特定算法的 TLS 证书，可绕过主机 RSA 密钥配对校验，直接获取目标设备的 Shell 权限。

漏洞触发前置条件：
- 设备开启 Developer options 和 Wireless debugging 或暴露 ADB TCP 服务。
- 设备/data/misc/adb/adb_keys文件包含至少一个先前配对的 RSA ADB 主机密钥。
- 攻击者能够访问该 ADB TCP 端口，例如处于同一局域网。

漏洞描述：
CVE-2026-0073 是 Android adbd 无线调试 / ADB-over-TCP 认证绕过漏洞。漏洞根因在 packages/modules/adb/daemon/auth.cpp 的 adbd_tls_verify_cert()：adbd 会将 TLS 客户端证书公钥与 /data/misc/adb/adb_keys 中保存的 RSA 主机公钥进行比较，但代码使用 if (EVP_PKEY_cmp(...)) 判断认证结果。

EVP_PKEY_cmp() 返回 1 才表示匹配，返回 0 表示不匹配，返回 -1 表示密钥类型不同；由于 -1 在 C/C++ 中也为 true，攻击者提交 EC/Ed25519 等非 RSA 证书时，RSA vs 非 RSA 的比较失败会被误判为认证成功，从而绕过 ADB 主机认证并获得 Shell 用户权限。

https://mp.weixin.qq.com/s/Axi6XZlFmiihXcARsPDwUw

喵师傅频道有更详细的 cover
https://t.me/MiaoTonyChannel/21033

#security
《促进分布式数字身份互通互认应用规定（征求意见稿）》

第六条 境内实名身份凭证依照其身份类别，按照以下方式自愿申请和签发：
（一）个人用户由国务院公安部门核验身份后，通过身份链签发身份凭证。
（二）机关事业单位用户向中央机构编制部门申请身份数据核验，通过身份链签发身份凭证。
（三）法人及其他组织机构用户向统一社会信用代码管理部门申请身份数据核验，通过身份链签发身份凭证。
（四）工业设备及物品由国务院工业和信息化部门依托工业互联网标识解析体系负责注册、核验身份数据，通过身份链签发身份凭证。
...
第十一条 用户可根据应用需要向可验证凭证签发机构申请承载用户特定属性信息的可验证凭证，经可验证凭证签发机构对用户属性信息核验后，向用户签发可验证凭证。
第十二条 用户可根据业务场景需求，自行签发数据授权凭证、业务代办凭证等带有特定功能需求的凭证。
...
第十六条 分布式数字身份使用的密码算法、密钥存放设备应符合密码相关国家标准、行业标准或国家密码管理相关规定。
...
（四）可验证凭证是指将现实世界中具有一定权威属性的证明（如身份证、学历证书、资质文件等）转化为标准化、可编程的数字化声明，其与分布式数字身份绑定，能够通过安全可靠技术手段进行真实性验证。
（五）可验证声明是基于可验证凭证的描述性声明，允许持有者选择性披露部分或全量信息。

https://www.cac.gov.cn/2026-06/18/c_1783525605384124.htm

#今天又看了啥 #security #WordPress #CVE #RCE #Cloudflare
WordPress REST API 未授权 RCE + SQL 注入链（CVE-2026-63030 / CVE-2026-60137）
WordPress 6.8+ 爆出一条可未授权远程代码执行的漏洞链：REST API 批处理端点路由混淆 + WP_Query 的 author__not_in 参数注入。攻击者无需任何凭证即可从网络侧打进来，CVSS 最高 9.8 CRITICAL。WordPress 已在 7.0.2 安全发布 中列为最高优先级并强制自动更新。

1️⃣ CVE-2026-60137 — SQL 注入（根因）
WP_Query 未正确过滤 author__not_in 参数，当插件/主题把不可信输入传入时触发 SQLi。影响 6.8.x / 6.9.x / 7.0.x。评分有分歧：wpscan 给 5.9（MEDIUM，AC:H 需特定条件），CNA 给 9.1（CRITICAL）。单独看偏信息泄露级。

2️⃣ CVE-2026-63030 — 未授权 RCE（放大器）
REST API 批处理（batch）端点存在路由混淆，可绕过认证边界触达上面的注入路径。与 60137 组合后：未授权 SQLi → 进一步 RCE。CVSS 9.8（AV:N/AC:L/PR:N/UI:N，C/I/A 全 High）。RCE 仅存在于 6.9+。

修复版本
7.0.2 / 6.9.5 两洞全修；6.8.6 仅修 SQLi（6.8 无 RCE）；7.1 Beta 2 全修。< 6.8 不受影响。WP 已开启强制后台自动更新。

缓解 / Cloudflare 侧
CF 公告：2026-07-17 17:03 UTC 部署两条 WAF 托管规则（Wordpress-SQL-Injection / Wordpress-Remote-Code-Execution），免费+付费站只要走 CF 代理即自动生效，默认 Block。但 WAF 只是缓冲——打补丁才是根治，注意检查有没有把规则降级成 Log 的 override。

#今天又看了啥 #security #WordPress #CVE #RCE
WordPress 本体未授权RCE 详细分析 附EXP | CVE-2026-63030 
InstantView · Source