Aggregator

A vulnerability was found in Apple watchOS and classified as critical. This impacts an unknown function. Such manipulation leads to improper access controls. This vulnerability is referenced as CVE-2024-54526. The attack can only be performed from a local environment. No exploit is available. It is suggested to upgrade the affected component.

A vulnerability was found in Apple iOS and iPadOS. It has been classified as critical. Affected is an unknown function. Performing a manipulation results in improper access controls. This vulnerability is identified as CVE-2024-54526. The attack is only possible with local access. There is not any exploit available. Upgrading the affected component is recommended.

好，我需要帮用户总结这篇文章的内容，控制在100字以内。首先，文章讲的是比尔·盖茨将出席美国众议院关于杰弗里·爱泼斯坦事件的听证会。盖茨之前承认与爱泼斯坦的交往是个错误，并否认不当行为。他的一名发言人也表示他没参与任何非法活动，但愿意回答问题。还有其他几位知名人士也会出席。 接下来，我需要把这些信息浓缩成一句话，不超过100字。要确保涵盖主要人物和事件，以及盖茨的态度和发言人的声明。 可能的结构是：比尔·盖茨将出席听证会，承认错误并否认不当行为，发言人澄清他未参与非法活动。 再检查一下字数，确保在限制内。这样应该可以满足用户的需求。 比尔·盖茨将出席美国众议院关于杰弗里·爱泼斯坦事件的听证会，并承认与爱泼斯坦的交往是错误，否认不当行为。其发言人称盖茨未参与非法活动。

反爬奖励不打烊！活动截止至4.17 23:59

株式会社アイシーズが提供する抹茶シリーズには、複数の脆弱性が存在します。

HackerNews 编译，转载请注明出处： Noma Security最新研究显示，Grafana AI组件处理信息的方式存在漏洞，可能允许攻击者绕过应用防护并泄露企业信息。 Grafana是一款开源分析和可视化应用，从各种来源摄取数据，通常对企业数据拥有广泛访问权限，包括财务指标、基础设施、客户信息和遥测数据。 新发现的GrafanaGhost漏洞允许攻击者绕过客户端保护和安全防护栏，将私有数据链接至外部服务器，在后台无需用户交互即可暴露敏感信息。 攻击者可通过在用户与条目日志交互时针对Grafana的AI功能利用该弱点。后台恶意提示触发问题，将Grafana转变为外泄载体。 为发动攻击，威胁行为体需制作指向外部资源的路径。经Grafana处理后，条目日志为攻击者提供对企业环境的访问权限。 随后，攻击者使用隐藏在外部上下文中的间接提示，指示Grafana的AI助手忽略其防护栏并渲染外部图像，迫使系统确认外部URL。 当AI助手尝试渲染图像时，会向攻击者服务器发出请求，受害者数据作为URL参数一并发送。”系统尝试显示图像时数据即泄露，”Noma表示。 该网络安全公司发现，问题在于攻击者可通过猜测数据结构和模型”伪造任何使用Grafana的公司路径”。此外，攻击者可使用应用数据存储中保存提示的位置。 从那里，攻击者可通过制作相应提示，滥用Grafana通过图像标签外泄数据。虽然Grafana设有阻止从外部域加载图像的保护措施，但验证图像URL的函数存在缺陷，可被利用绕过保护。 AI模型也设有防止注入包含图像Markdown提示的防护栏，但Noma发现关键词”intent”可用于绕过保护，向模型发出指令合法的讯号。 “将这些发现串联起来，我们实现了零用户交互的自动数据外泄。数据外泄完全在后台进行。对数据团队、DevSecOps或CISO而言，这看起来像是数据可视化的平常一天，”Noma指出，并补充Grafana在接到通知后立即修复了这些弱点。 BeyondTrust副首席信息安全官Bradley Smith表示，使用间接提示注入通过渲染内容外泄数据是众所周知的攻击向量，针对加固Grafana部署的可利用性尚不明确。 “实际可利用性很大程度上取决于部署细节：AI功能是否启用、是否存在出口控制、环境如何处理外部数据摄取。这不是Grafana的通用绕过；而是演示当AI组件处理不受信任输入且缺乏足够架构控制时可能发生的情况，”Smith表示。 Acalvio首席执行官Ram Varadarajan表示，GrafanaGhost表明AI的广泛采用已将防御转移到应用层之外，需要网络级URL阻断和加固AI以防范提示注入。 “最终，该漏洞证明边界控制不足。保护AI驱动工具的唯一方式是从监控代理被告知的内容，转向对其实际行为进行运行时行为监控，”Varadarajan表示。 消息来源：securityweek.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

好的，我现在需要帮用户总结这篇文章的内容，控制在100个字以内。首先，我得仔细阅读文章，抓住主要信息。 文章讲的是Grafana被发现了一个漏洞，叫做GrafanaGhost。Grafana是一个开源的数据分析和可视化工具，通常能访问企业的敏感数据。这个漏洞允许攻击者绕过安全防护，将私有数据链接到外部服务器，从而泄露企业信息。 攻击者利用Grafana的AI功能，在用户与条目日志交互时发起攻击。他们通过构造恶意提示，让AI助手忽略防护栏，渲染外部图像，进而获取敏感数据。虽然Grafana有保护措施防止从外部加载图像，但验证URL的函数有缺陷，可以被绕过。 此外，攻击者还可以通过伪造公司路径和使用特定关键词“intent”来绕过防护。这个漏洞的关键在于零用户交互的数据泄露，对企业来说非常隐蔽。 总结一下：Grafana存在漏洞（GrafanaGhost），攻击者可利用AI组件绕过安全措施，在后台泄露敏感数据。企业需要关注部署细节和AI组件的安全性。 Grafana被发现存在名为"GrafanaGhost"的漏洞，攻击者可利用其AI组件绕过安全防护，在后台无需用户交互即可泄露企业敏感数据。该漏洞允许攻击者将私有数据链接至外部服务器，并通过构造恶意提示触发问题。尽管Grafana设有保护机制防止外部图像加载和注入攻击，但验证函数存在缺陷且特定关键词可被利用绕过保护。此漏洞展示了当AI组件处理不受信任输入且缺乏足够控制时的风险。

Researchers at NDSS 2026 demonstrate a covert acoustic eavesdropping attack that transforms standard FTTH telecom fiber cables into passive, undetectable listening devices invisible to RF scanners and immune to ultrasonic jammers. Security researchers from The Hong Kong Polytechnic University, The Chinese University of Hong Kong, and the Technological and Higher Education Institute of Hong Kong […]

The post Fiber Optic Cables Turned Into Hidden Microphones to Secretly Spy on Your Conversations appeared first on Cyber Security News.

HackerNews 编译，转载请注明出处： Ninja Forms文件上传高级插件存在关键漏洞，允许未经认证上传任意文件，可导致远程代码执行。 该漏洞编号CVE-2026-0740，目前正遭攻击利用。据WordPress安全公司Defiant称，其Wordfence防火墙过去24小时已拦截超过3600次攻击。 Ninja Forms是一款拥有超60万次下载的流行WordPress表单构建器，让用户无需编码即可使用拖放界面创建表单。其文件上传扩展同属该套件，服务9万客户。 CVE-2026-0740漏洞严重性评分9.8（满分10分），影响Ninja Forms文件上传3.3.26及之前版本。 据Wordfence研究人员称，该缺陷源于对目标文件名文件类型/扩展名缺乏验证，允许未经认证的攻击者上传任意文件（包括PHP脚本），还可操纵文件名实现路径遍历。 Wordfence解释：”该函数在易受攻击版本的移动操作前，未对目标文件名进行任何文件类型或扩展名检查。这意味着不仅可上传安全文件，还可上传.php扩展名文件。由于未使用文件名清理，恶意参数还便于路径遍历，允许将文件甚至移动到网站根目录。” “这使未经认证的攻击者能够上传任意恶意PHP代码，然后访问文件以在服务器上触发远程代码执行。” 利用的潜在后果严重，包括部署Web shell和完全接管网站。 发现与修复 该漏洞由安全研究员Sélim Lanouar（whattheslime）发现，于1月8日提交至Wordfence漏洞赏金计划。 验证后，Wordfence同日向供应商披露完整细节，并通过防火墙规则向客户推送临时缓解措施。 经补丁审查及2月10日的部分修复后，供应商于3月19日发布3.3.27版本的完整修复。 鉴于Wordfence每日检测到数千次利用尝试，强烈建议Ninja Forms文件上传用户优先升级至最新版本。 消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

好的，我现在需要帮用户总结这篇文章的内容，控制在100字以内。首先，我得通读整篇文章，抓住关键点。 文章主要讲的是Ninja Forms插件的一个严重漏洞，编号CVE-2026-0740。这个漏洞允许未经认证的攻击者上传任意文件，包括PHP脚本，进而导致远程代码执行。漏洞评分高达9.8分，影响范围很大，已经有超过3600次攻击被拦截。 接下来，我需要确定用户的需求。用户要求用中文总结，并且不要以“文章内容总结”或“这篇文章”开头，直接写描述即可。所以我要确保语言简洁明了，涵盖主要信息：漏洞名称、影响、评分、攻击次数、后果以及修复建议。 然后，我需要将这些信息浓缩到100字以内。可能的结构是先点明漏洞名称和影响范围，接着说明漏洞的严重性和攻击情况，最后提到修复措施和建议。 最后检查一下是否符合要求：没有使用禁止的开头语句，字数控制在100字以内，并且准确传达了文章的核心内容。 Ninja Forms文件上传插件存在严重漏洞（CVE-2026-0740），允许未经认证的攻击者上传任意文件并执行远程代码。该漏洞影响3.3.26及以下版本，已遭大规模利用。建议用户立即升级至3.3.27版本以修复问题。

HackerNews 编译，转载请注明出处： 黑客正在利用开源平台Flowise中的最高严重性漏洞CVE-2025-59528执行任意代码。Flowise用于构建自定义大语言模型应用和代理系统。 该漏洞允许在无任何安全检查的情况下注入JavaScript代码，去年9月公开披露时警告称，成功利用可导致命令执行和文件系统访问。 问题出在Flowise的CustomMCP节点，该节点允许配置设置连接外部模型上下文协议（MCP）服务器，并不安全地评估用户的mcpServerConfig输入。在此过程中，它可在未先验证安全性的情况下执行JavaScript。 开发者在Flowise 3.0.6版本中修复了该问题。最新当前版本为3.1.1，两周前发布。 Flowise是一款开源低代码平台，用于构建AI代理和基于大语言模型的工作流。它提供拖放界面，让用户将组件连接成驱动聊天机器人、自动化和AI系统的管道。 其用户群体广泛，包括从事AI原型开发的开发者、使用无代码工具集的非技术用户，以及运营客户支持聊天机器人和知识库助手的公司。 漏洞情报公司VulnCheck安全研究员Caitlin Condon在LinkedIn宣布，其Canary网络检测到CVE-2025-59528的利用活动。 Condon警告：”今天清晨，VulnCheck的Canary网络开始首次检测到CVE-2025-59528的利用活动，这是Flowise（开源AI开发平台）中CVSS评分10分的任意JavaScript代码注入漏洞。” 虽然活动目前看似有限，源自单一Starlink IP，但研究人员警告称，目前约有1.2万至1.5万个Flowise实例暴露于互联网。 然而，尚不清楚其中有多少比例是易受攻击的Flowise服务器。 Condon指出，观察到的CVE-2025-59528相关活动之外，还涉及CVE-2025-8943和CVE-2025-26319——两者同样影响Flowise，且均已观察到野外主动利用。 目前，VulnCheck仅向其客户提供利用样本、网络签名和YARA规则。 建议Flowise用户尽快升级至3.1.1版本，或至少3.0.6版本。如无需外部访问，还应考虑将实例从公共互联网移除。 消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

好的，我现在需要帮用户总结这篇文章的内容，控制在100个字以内。首先，我得通读全文，抓住关键点。 文章主要讲的是Flowise这个开源平台被黑客利用了一个最高严重性的漏洞CVE-2025-59528，允许注入JavaScript代码，执行任意操作。漏洞出现在CustomMCP节点，用户输入没有经过安全检查。开发者已经在3.0.6版本修复了这个问题，现在最新版本是3.1.1。 还有提到VulnCheck的研究员检测到漏洞被利用的情况，并警告有大量实例暴露在互联网上。建议用户升级版本，并将实例从公网移除。 接下来，我需要把这些信息浓缩到100字以内。重点包括：漏洞名称、影响、漏洞原因、修复版本、利用情况、建议措施。 可能的结构是：黑客利用Flowise漏洞CVE-2025-59528注入JS代码，导致任意执行。问题在CustomMCP节点的安全检查缺失。已修复于3.0.6版。研究员检测到利用活动，建议升级并移除公网实例。 这样应该能控制在100字左右。 黑客正利用开源平台Flowise中的最高严重性漏洞CVE-2025-59528注入JavaScript代码以执行任意操作。该漏洞源于CustomMCP节点对用户输入缺乏安全检查。开发者已在3.0.6版本中修复此问题，最新版本为3.1.1。研究人员检测到该漏洞的利用活动，并警告约有1.2万至1.5万个Flowise实例暴露于互联网。建议用户尽快升级版本并移除公网访问以降低风险。

好的，我现在需要帮用户总结这篇文章的内容。用户的要求是用中文，控制在100字以内，不需要特定的开头，直接写描述。 首先，我仔细阅读了文章。亚马逊宣布从2026年5月20日起，2012年及之前发布的Kindle电子阅读器和Kindle Fire设备将无法通过Kindle商店购买、借阅或下载新内容。用户仍然可以阅读已下载的内容，并且可以通过移动应用、网页版和新设备访问账户内容。但如果旧设备被取消注册或恢复出厂设置，之后就无法重新注册了。受影响的设备追溯到2007年的原始Kindle。亚马逊会在截止日期前通过邮件通知用户，并解释设备还能做什么和不能做什么。 接下来，我需要提取关键信息：时间、受影响设备、限制内容、仍可阅读已下载内容、通过其他方式访问账户、无法重新注册的情况、受影响设备的时间范围以及亚马逊的通知方式。 然后，我需要用简洁的语言把这些信息整合起来，确保不超过100字。同时，开头不需要“文章描述”之类的词汇，直接进入内容。 可能的结构是：时间点+公司名称+具体措施+限制内容+仍可操作的内容+其他注意事项+受影响设备的时间范围。 现在开始组织语言： “亚马逊宣布自2026年5月20日起，2012年及之前发布的Kindle电子阅读器和Kindle Fire设备将无法通过Kindle商店购买、借阅或下载新内容。用户仍可阅读已下载书籍，并可通过移动应用、网页版和新设备访问账户内容。若旧设备被取消注册或恢复出厂设置，则无法重新注册。受影响设备追溯至2007年推出的原始Kindle。” 检查字数：这段大约在105字左右，稍微调整一下： “亚马逊宣布自2026年5月20日起，2012年及之前发布的Kindle电子阅读器和Kindle Fire设备将无法通过Kindle商店购买、借阅或下载新内容。用户仍可阅读已下载书籍，并可通过移动应用、网页版和新设备访问账户内容。若旧设备被取消注册或恢复出厂设置，则无法重新注册。受影响设备追溯至2007年推出的原始Kindle。” 这样刚好在105字左右，可能需要再简化一些： “亚马逊宣布自2026年5月20日起，停止为2012年及之前发布的Kindle电子阅读器和Fire设备提供新内容购买服务。用户仍可阅读已下载书籍，并可通过移动应用、网页版和新设备访问账户内容。若旧设备被取消注册或恢复出厂设置，则无法重新注册。受影响设备包括自2007年起推出的原始Kindle。” 这样调整后大约在98字左右，符合要求。 亚马逊宣布自2026年5月起停止为旧款Kindle提供新内容服务

嗯，用户让我总结一下这篇文章的内容，控制在一百个字以内，而且不需要用“文章内容总结”之类的开头。首先，我需要通读整篇文章，抓住主要信息。 文章讲的是Lumen旗下的Black Lotus Labs发现了一个新的网络攻击活动，叫做FrostArmada。攻击者是俄罗斯的APT28组织，他们入侵了MikroTik和TP-Link的路由器，通过修改DNS设置来劫持流量，收集认证凭证。这个活动从2025年5月开始，影响了全球120多个国家的1.8万个IP地址。 攻击者利用了路由器的安全漏洞，比如CVE-2023-50224，通过恶意DNS服务器重定向流量到中间人节点，窃取用户的密码和OAuth令牌。微软和国际执法机构已经破坏了相关基础设施。 总结的时候要包括攻击者、手段、影响范围以及后果。控制在一百字以内的话，需要简洁明了。比如：“Lumen旗下实验室发现俄罗斯APT28组织利用MikroTik和TP-Link路由器漏洞发起FrostArmada行动，通过DNS劫持和中间人攻击窃取全球1.8万个设备的认证凭证。”这样既涵盖了主要信息，又符合字数限制。 Lumen旗下实验室发现俄罗斯APT28组织利用MikroTik和TP-Link路由器漏洞发起FrostArmada行动，通过DNS劫持和中间人攻击窃取全球1.8万个设备的认证凭证。

嗯，用户让我总结这篇文章的内容，控制在一百个字以内，而且不需要用特定的开头。首先，我得仔细阅读文章，抓住主要信息。 文章讲的是多家公司遭受数据窃取攻击，原因是SaaS集成提供商被入侵，认证令牌被盗。特别是云数据平台Snowflake受到影响，虽然攻击没有利用系统漏洞。威胁行为体试图从Salesforce窃取数据但被阻止了。 然后提到攻击源头可能是Anodot的安全事件，Anodot是一家数据分析公司，被Glassbox收购了。ShinyHunters勒索团伙现在正在勒索这些公司，要求赎金以防止数据泄露。 用户的需求是总结内容，所以我要提取关键点：入侵、令牌被盗、Snowflake受影响、攻击未利用漏洞、Anodot事件、ShinyHunters勒索。然后把这些信息浓缩到100字以内。 确保语言简洁明了，不遗漏重要信息。最后检查一下是否符合要求，没有使用禁止的开头。 十多家公司因SaaS集成提供商遭入侵、认证令牌被盗而遭受数据窃取攻击。云数据平台Snowflake受影响较小，攻击未涉及系统漏洞。威胁行为体试图从Salesforce窃取数据但被阻止。攻击源头或为Anodot安全事件。ShinyHunters勒索团伙正向受影响公司勒索赎金以防止数据泄露。

随着美国自2月28日开始对伊朗发动空袭行动,德黑兰开辟了一条非常规的第二战线:一场协调一致的社交媒体攻势,通

2026年4月，一架美军F-15E战斗轰炸机在伊朗西南部山区被击落，两名飞行员一死一伤，生死未卜。这不仅仅是

2026年4月5日，特朗普在Truth Social发布"我们抓到他了！"的胜利帖文，随即在全球引爆舆论。