Aggregator

致力于第一时间为企业级用户提供权威漏洞情报和有效解决方案。

HackerNews 编译，转载请注明出处： 俄罗斯全国银行应用和支付系统发生大规模故障，导致客户数小时内无法刷卡支付、提取现金或使用移动银行服务。据The Record Media报道，该事件影响包括Sberbank、VTB、Alfa-Bank、T-Bank和Gazprombank在内的主要银行，波及莫斯科等多个地区。 俄罗斯网站CNews报道：”VTB、Sberbank、T-Bank和Alfa-Bank的合计客户群达全国数千万人。显然，故障规模巨大，影响俄罗斯大部分地区。投诉数以千计。例如，仅一小时内就有超过3300起关于Sberbank故障的投诉。过去12小时内，35%的投诉来自莫斯科，圣彼得堡和斯维尔德洛夫斯克地区各占8%，新西伯利亚和车里雅宾斯克地区分别为7%和5%。” 媒体报道称，此次故障发生在俄罗斯收紧互联网控制、限制应用并打击VPN使用之际。 《基辅独立报》报道：”4月3日，根据在线追踪数据和客户报告，俄罗斯主要银行面临电子服务大规模中断。此次故障发生在俄罗斯政府日益收紧国内互联网访问控制之际，对流行应用施加限制并寻求遏制虚拟专用网络（VPN）的使用。” 4月3日的临时故障影响Sberbank并蔓延至其他主要银行，包括VTB Bank和T-Bank。从莫斯科时间上午10点左右开始，客户面临移动应用、转账和ATM取款问题，迫使许多商家仅接受现金，并在各城市造成长队。 俄罗斯国家支付卡系统表示，中断源于一家银行的技术故障，未影响资金。《生意人报》报道将其与Sberbank故障关联，可能在限制VPN计划后不久因VPN使用而恶化。 《基辅独立报》继续报道：”此次大规模故障发生在俄罗斯数字发展部长Maksut Shadayev于3月30日表示政府将努力’减少VPN使用’后不到一周——VPN是俄罗斯公民绕过网络审查的少数剩余方式之一。据报道，Shadayev在普京总统下令后，要求电信运营商和数字平台对使用VPN服务的用户收费并封禁。” 当地安全专家推测，封禁VPN可能导致4月3日的银行故障，在接受《生意人报》采访时将其描述为可能的”误伤”。自乌克兰战争爆发以来，俄罗斯当局稳步收紧网络审查，近月来限制加速。3月初，克里姆林宫引入白名单系统，在移动互联网中断期间仅允许访问选定的、多为亲政府网站。互联网关闭变得更加频繁，官方理由为针对乌克兰无人机攻击的安全措施。 The Record Media还报道，故障还影响公共交通，莫斯科地铁和郊区火车转门无法刷卡，迫使工作人员让乘客免费通过以避免拥挤。 截至周一，许多网站上的相关报道已基本消失。独立媒体称，俄罗斯互联网监管机构Roskomnadzor已下令各平台删除将银行故障与其VPN封禁努力关联的内容。 消息来源：securityaffairs.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

好，我现在需要帮用户总结这篇文章的内容，控制在一百个字以内。首先，我得通读全文，抓住主要信息。 文章讲的是俄罗斯全国银行系统发生大规模故障，影响了Sberbank、VTB等主要银行，导致客户无法刷卡支付、取现或使用移动银行服务。故障持续数小时，投诉量很大，尤其是莫斯科地区。媒体报道指出，这次故障发生在俄罗斯加强互联网控制、限制应用和打击VPN使用之际。专家推测VPN封禁可能与此有关。此外，故障还影响了公共交通的刷卡系统。 接下来，我需要把这些信息浓缩到100字以内。重点包括：俄罗斯全国银行系统故障、影响范围、时间、投诉情况、互联网控制背景以及VPN封禁的关联。 然后组织语言，确保简洁明了。比如：“俄罗斯全国银行系统发生大规模故障，影响Sberbank等主要银行及公共交通刷卡服务。客户无法刷卡支付、取现或使用移动银行服务数小时。故障发生在俄罗斯收紧互联网控制、限制应用及打击VPN使用之际。专家推测VPN封禁可能与此有关。” 这样应该符合用户的要求了。 俄罗斯全国银行系统发生大规模故障，影响Sberbank等主要银行及公共交通刷卡服务。客户无法刷卡支付、取现或使用移动银行服务数小时。故障发生在俄罗斯收紧互联网控制、限制应用及打击VPN使用之际。专家推测VPN封禁可能与此有关。

A vulnerability described as critical has been identified in Apple tvOS. This vulnerability affects unknown code. Such manipulation leads to improper access controls. This vulnerability is traded as CVE-2024-54527. An attack has to be approached locally. There is no exploit available. Upgrading the affected component is recommended.

A vulnerability classified as critical has been found in Apple macOS. This issue affects some unknown processing. Performing a manipulation results in improper access controls. This vulnerability is known as CVE-2024-54527. Attacking locally is a requirement. No exploit is available. It is recommended to upgrade the affected component.

A vulnerability classified as critical was found in Apple watchOS. Impacted is an unknown function. Executing a manipulation can lead to improper access controls. This vulnerability is handled as CVE-2024-54527. It is possible to launch the attack on the local host. There is not any exploit available. Upgrading the affected component is advised.

A vulnerability, which was classified as critical, has been found in Apple iOS and iPadOS. The affected element is an unknown function. The manipulation leads to improper access controls. This vulnerability is uniquely identified as CVE-2024-54527. Local access is required to approach this attack. No exploit exists. It is advisable to upgrade the affected component.

A vulnerability, which was classified as critical, was found in Apple tvOS. The impacted element is an unknown function. The manipulation results in improper access controls. This vulnerability was named CVE-2024-54526. The attack needs to be approached locally. There is no available exploit. You should upgrade the affected component.

A vulnerability has been found in Apple macOS and classified as critical. This affects an unknown function. This manipulation causes improper access controls. The identification of this vulnerability is CVE-2024-54526. The attack can only be executed locally. There is no exploit available. The affected component should be upgraded.

A vulnerability was found in Apple watchOS and classified as critical. This impacts an unknown function. Such manipulation leads to improper access controls. This vulnerability is referenced as CVE-2024-54526. The attack can only be performed from a local environment. No exploit is available. It is suggested to upgrade the affected component.

A vulnerability was found in Apple iOS and iPadOS. It has been classified as critical. Affected is an unknown function. Performing a manipulation results in improper access controls. This vulnerability is identified as CVE-2024-54526. The attack is only possible with local access. There is not any exploit available. Upgrading the affected component is recommended.

好，我需要帮用户总结这篇文章的内容，控制在100字以内。首先，文章讲的是比尔·盖茨将出席美国众议院关于杰弗里·爱泼斯坦事件的听证会。盖茨之前承认与爱泼斯坦的交往是个错误，并否认不当行为。他的一名发言人也表示他没参与任何非法活动，但愿意回答问题。还有其他几位知名人士也会出席。 接下来，我需要把这些信息浓缩成一句话，不超过100字。要确保涵盖主要人物和事件，以及盖茨的态度和发言人的声明。 可能的结构是：比尔·盖茨将出席听证会，承认错误并否认不当行为，发言人澄清他未参与非法活动。 再检查一下字数，确保在限制内。这样应该可以满足用户的需求。 比尔·盖茨将出席美国众议院关于杰弗里·爱泼斯坦事件的听证会，并承认与爱泼斯坦的交往是错误，否认不当行为。其发言人称盖茨未参与非法活动。

反爬奖励不打烊！活动截止至4.17 23:59

株式会社アイシーズが提供する抹茶シリーズには、複数の脆弱性が存在します。

HackerNews 编译，转载请注明出处： Noma Security最新研究显示，Grafana AI组件处理信息的方式存在漏洞，可能允许攻击者绕过应用防护并泄露企业信息。 Grafana是一款开源分析和可视化应用，从各种来源摄取数据，通常对企业数据拥有广泛访问权限，包括财务指标、基础设施、客户信息和遥测数据。 新发现的GrafanaGhost漏洞允许攻击者绕过客户端保护和安全防护栏，将私有数据链接至外部服务器，在后台无需用户交互即可暴露敏感信息。 攻击者可通过在用户与条目日志交互时针对Grafana的AI功能利用该弱点。后台恶意提示触发问题，将Grafana转变为外泄载体。 为发动攻击，威胁行为体需制作指向外部资源的路径。经Grafana处理后，条目日志为攻击者提供对企业环境的访问权限。 随后，攻击者使用隐藏在外部上下文中的间接提示，指示Grafana的AI助手忽略其防护栏并渲染外部图像，迫使系统确认外部URL。 当AI助手尝试渲染图像时，会向攻击者服务器发出请求，受害者数据作为URL参数一并发送。”系统尝试显示图像时数据即泄露，”Noma表示。 该网络安全公司发现，问题在于攻击者可通过猜测数据结构和模型”伪造任何使用Grafana的公司路径”。此外，攻击者可使用应用数据存储中保存提示的位置。 从那里，攻击者可通过制作相应提示，滥用Grafana通过图像标签外泄数据。虽然Grafana设有阻止从外部域加载图像的保护措施，但验证图像URL的函数存在缺陷，可被利用绕过保护。 AI模型也设有防止注入包含图像Markdown提示的防护栏，但Noma发现关键词”intent”可用于绕过保护，向模型发出指令合法的讯号。 “将这些发现串联起来，我们实现了零用户交互的自动数据外泄。数据外泄完全在后台进行。对数据团队、DevSecOps或CISO而言，这看起来像是数据可视化的平常一天，”Noma指出，并补充Grafana在接到通知后立即修复了这些弱点。 BeyondTrust副首席信息安全官Bradley Smith表示，使用间接提示注入通过渲染内容外泄数据是众所周知的攻击向量，针对加固Grafana部署的可利用性尚不明确。 “实际可利用性很大程度上取决于部署细节：AI功能是否启用、是否存在出口控制、环境如何处理外部数据摄取。这不是Grafana的通用绕过；而是演示当AI组件处理不受信任输入且缺乏足够架构控制时可能发生的情况，”Smith表示。 Acalvio首席执行官Ram Varadarajan表示，GrafanaGhost表明AI的广泛采用已将防御转移到应用层之外，需要网络级URL阻断和加固AI以防范提示注入。 “最终，该漏洞证明边界控制不足。保护AI驱动工具的唯一方式是从监控代理被告知的内容，转向对其实际行为进行运行时行为监控，”Varadarajan表示。 消息来源：securityweek.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

好的，我现在需要帮用户总结这篇文章的内容，控制在100个字以内。首先，我得仔细阅读文章，抓住主要信息。 文章讲的是Grafana被发现了一个漏洞，叫做GrafanaGhost。Grafana是一个开源的数据分析和可视化工具，通常能访问企业的敏感数据。这个漏洞允许攻击者绕过安全防护，将私有数据链接到外部服务器，从而泄露企业信息。 攻击者利用Grafana的AI功能，在用户与条目日志交互时发起攻击。他们通过构造恶意提示，让AI助手忽略防护栏，渲染外部图像，进而获取敏感数据。虽然Grafana有保护措施防止从外部加载图像，但验证URL的函数有缺陷，可以被绕过。 此外，攻击者还可以通过伪造公司路径和使用特定关键词“intent”来绕过防护。这个漏洞的关键在于零用户交互的数据泄露，对企业来说非常隐蔽。 总结一下：Grafana存在漏洞（GrafanaGhost），攻击者可利用AI组件绕过安全措施，在后台泄露敏感数据。企业需要关注部署细节和AI组件的安全性。 Grafana被发现存在名为"GrafanaGhost"的漏洞，攻击者可利用其AI组件绕过安全防护，在后台无需用户交互即可泄露企业敏感数据。该漏洞允许攻击者将私有数据链接至外部服务器，并通过构造恶意提示触发问题。尽管Grafana设有保护机制防止外部图像加载和注入攻击，但验证函数存在缺陷且特定关键词可被利用绕过保护。此漏洞展示了当AI组件处理不受信任输入且缺乏足够控制时的风险。

Researchers at NDSS 2026 demonstrate a covert acoustic eavesdropping attack that transforms standard FTTH telecom fiber cables into passive, undetectable listening devices invisible to RF scanners and immune to ultrasonic jammers. Security researchers from The Hong Kong Polytechnic University, The Chinese University of Hong Kong, and the Technological and Higher Education Institute of Hong Kong […]

The post Fiber Optic Cables Turned Into Hidden Microphones to Secretly Spy on Your Conversations appeared first on Cyber Security News.

HackerNews 编译，转载请注明出处： Ninja Forms文件上传高级插件存在关键漏洞，允许未经认证上传任意文件，可导致远程代码执行。 该漏洞编号CVE-2026-0740，目前正遭攻击利用。据WordPress安全公司Defiant称，其Wordfence防火墙过去24小时已拦截超过3600次攻击。 Ninja Forms是一款拥有超60万次下载的流行WordPress表单构建器，让用户无需编码即可使用拖放界面创建表单。其文件上传扩展同属该套件，服务9万客户。 CVE-2026-0740漏洞严重性评分9.8（满分10分），影响Ninja Forms文件上传3.3.26及之前版本。 据Wordfence研究人员称，该缺陷源于对目标文件名文件类型/扩展名缺乏验证，允许未经认证的攻击者上传任意文件（包括PHP脚本），还可操纵文件名实现路径遍历。 Wordfence解释：”该函数在易受攻击版本的移动操作前，未对目标文件名进行任何文件类型或扩展名检查。这意味着不仅可上传安全文件，还可上传.php扩展名文件。由于未使用文件名清理，恶意参数还便于路径遍历，允许将文件甚至移动到网站根目录。” “这使未经认证的攻击者能够上传任意恶意PHP代码，然后访问文件以在服务器上触发远程代码执行。” 利用的潜在后果严重，包括部署Web shell和完全接管网站。 发现与修复 该漏洞由安全研究员Sélim Lanouar（whattheslime）发现，于1月8日提交至Wordfence漏洞赏金计划。 验证后，Wordfence同日向供应商披露完整细节，并通过防火墙规则向客户推送临时缓解措施。 经补丁审查及2月10日的部分修复后，供应商于3月19日发布3.3.27版本的完整修复。 鉴于Wordfence每日检测到数千次利用尝试，强烈建议Ninja Forms文件上传用户优先升级至最新版本。 消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

好的，我现在需要帮用户总结这篇文章的内容，控制在100字以内。首先，我得通读整篇文章，抓住关键点。 文章主要讲的是Ninja Forms插件的一个严重漏洞，编号CVE-2026-0740。这个漏洞允许未经认证的攻击者上传任意文件，包括PHP脚本，进而导致远程代码执行。漏洞评分高达9.8分，影响范围很大，已经有超过3600次攻击被拦截。 接下来，我需要确定用户的需求。用户要求用中文总结，并且不要以“文章内容总结”或“这篇文章”开头，直接写描述即可。所以我要确保语言简洁明了，涵盖主要信息：漏洞名称、影响、评分、攻击次数、后果以及修复建议。 然后，我需要将这些信息浓缩到100字以内。可能的结构是先点明漏洞名称和影响范围，接着说明漏洞的严重性和攻击情况，最后提到修复措施和建议。 最后检查一下是否符合要求：没有使用禁止的开头语句，字数控制在100字以内，并且准确传达了文章的核心内容。 Ninja Forms文件上传插件存在严重漏洞（CVE-2026-0740），允许未经认证的攻击者上传任意文件并执行远程代码。该漏洞影响3.3.26及以下版本，已遭大规模利用。建议用户立即升级至3.3.27版本以修复问题。