先知技术社区

漏洞简介MCPJam 检查器是本地优先的 MCP 服务器开发平台。1.4.2及更早版本存在远程代码执行（RCE）漏洞，攻击者可以通过发送精心设计的HTTP请求，触发MCP服务器的安装，从而导致RCE。由于MCPJam检查器默认监听的是0.0.0.0而非127.0.0.1，攻击者可以通过简单的HTTP请求远程触发RCE。1.4.3版本包含补丁。漏洞影响版本：<= 1.4.2漏洞分析前端构造攻击

置信度常被用作预测模型可靠性的指标，但其背后隐藏的安全隐患却常被忽视

漏洞来源一个评分9.8的严重MCP漏洞漏洞描述MCPJam 检测器是 MCP 服务器的本地首发开发平台。1.4.2 及更早版本易受远程代码执行(RCE)漏洞的影响,该漏洞允许攻击者发送经过精心设计的 HTTP 请求,触发 MCP 服务器的安装,从而触发 RCE。由于MCPJam检测器默认监听0.0.0.0而不是127.0.0.1,攻击者可以通过简单的HTTP请求远程触发RCE。1.4.3 版本包含

对CoT、ToT、GoT风险做一个简要解析

对最新漏洞CVE-2026-23885的具体实现路径和poc分析

某小厂的上网行为管理系统，由python语言使用django框架编写，经过代码审计发现存在多个系统漏洞，包括命令执行，文件读取，数据库存在默认弱口令。

GNU InetUtils telnetd 远程身份认证绕过漏洞(QVD-2026-4408)漏洞分析复现

引言本文是对SilentDrift: Exploiting Action Chunking for Stealthy Backdoor Attacks on Vision-Language-Action Models该论文的学习攻击描述攻击者在训练数据中注入极少量（<2%）带有微小视觉触发器（如5像素红点）的中毒样本，仅在机器人执行任务的关键阶段（如末端执行器接近目标物体时）激活后门；此时模

环境搭建https://github.com/halo-dev/halo/releases/tag/v0.4.3白盒审计任意文件删除filename参数被引用位置如图所示srcPath：拼接用户主目录+/halo/backup/+类型+文件名接着FileUtil.del方法进行删除，返回成功失败状态，目前看调用方法没有做防护操作，并且没有跨目录限制等操作测试在217行打断点前台地址找到delBac

漏洞介绍用友NC系统UserSynchronizationServlet方法存在反序列化漏洞，攻击者可执行任意命令，获取敏感信息。 影响版本用友NC6.5漏洞分析漏洞位于nc.bs.pub.im.UserSynchronizationServlet接口漏洞代码：很明显的反序列化漏洞， 接收POST请求时，读取了输入流，之后对输入流方法进行in.readObject()造成了反序列化漏洞 接下来构造

危险函数ObjectInputStream.readObject()ObjectInputStream.readUnshared()XMLDecoder.readObject()XStream.fromXML()Yaml.load()ObjectMapper.readValue()JsonMapper.readValue()JSON.parseObject()JSON.parse()Gson.fr

本文披露禅道PMS 21.7.6中的3个安全漏洞，包括2个SSRF和1个文件删除水平越权，其中2个获CVE编号。

CVE-2025-11953 React Native CLI

AI模型水印与后门检测

前言在现代 Web 应用安全攻防中，攻击者不断演化其技术手段，以规避日益智能的检测机制。传统的基于关键词匹配或简单语法分析的安全防护（如 WAF、SAST 工具甚至部分 AI 驱动的代码扫描系统）正面临严峻挑战，恶意代码不再以明文形式暴露危险函数或命令，而是通过逻辑拆分、数据混淆、运行时重构等高级技巧，将攻击载荷（payload）伪装成合法的业务逻辑。AI检测的思路AI 检测 WebShell 的

在生产环境中严禁将证书服务（ADCS）安装在域控制器（DC）上，强烈建议单独部署专用服务器承载证书服务。原因在于证书服务存在特殊特性——部署后无法修改服务器的计算机名称及网络参数，会严重限制DC的维护与扩展。一、环境搭建1. 环境清单主机角色操作系统账户信息备注父域控（DC）Windows Server 2016管理员：SUN\Administrator，密码：Qaz123.；普通用户：SUN\u

对这个sink做了重新的研究，同时排除掉之前的一些理解误区。

本文着重分析开源项目newbee-mall的未修复漏洞以及对CVE-2024-48178的思考。

APT32、shellcode实现驻留、shellcode化rust特马

基于AI的开源代码安全审计研究：通过生成接口文档辅助，对比智能体与Skill方法，Skill在漏洞识别准确率上表现更优，针对误报问题提出优化方案