IT2021科技站

在突发高危远程代码执行（RCE）漏洞的应急响应中，安全公告往往会建议立即调小 post_max_size、upload_max_filesize 或 memory_limit，以阻断超大载荷注入或内存耗尽利用。然而，仓促修改全局 php.ini 或 PHP-F...

Google 开源压缩算法库 Brotli 近期披露的高危越界写入漏洞（CVE-2026-111497，社区代号 Node2Shell / HTTP2Shell）已引起安全界高度警惕。该漏洞存在于 Brotli 解码器（Decoder）的核心逻辑中，影响 1....

在企业内部网络安全运营中，资产的非预期暴露与弱口令配置是威胁横向移动的主要突破口。由 TideSec 开源维护的综合安全检测工具无影（TscanPlus），整合了主机存活探测、服务与 Web 指纹识别以及多协议弱口令核验功能。相比传统单一工具的多环节拼接，Ts...

在持续集成（CI）流水线和容器交付链路中，基础镜像通常预装了 curl 命令行工具，许多构建脚本、发布工具和内部运维 CLI 也会直接调用或链接 libcurl。根据官方安全公告，CVE-2026-92392 揭示了一个存在于 libcurl 中的高危释放后使...

在现代 Web 架构与 API 安全体系中，JSON Web Token（JWT）常作为无状态身份认证与会话管理的核心载体。依据 OWASP Web 安全测试指南（WSTG）的身份验证测试框架，针对 JWT 的安全性评估需要聚焦于其算法解析逻辑、签名有效性校验...

容器与宿主机共享 Linux 内核。如果工作负载未配置 Seccomp，且节点 kubelet 没有启用默认配置，容器可能以 Unconfined 方式运行，缺少 Seccomp 系统调用过滤。将默认配置收敛到 RuntimeDefault，可以减少不必要的内...

在宝塔面板中启用或收紧站点防火墙（WAF）后，管理后台登录失败、富文本附件无法上传、异步 API 接口报错等现象常有发生。面对突发阻断，切忌因为排查麻烦而直接关闭整个站点的防护模块，更不能在未核对特征的情况下全盘放行特定请求方式。科学的排查思路应是以正常业务请...

Paytium 插件在 5.0.5 及之前版本中存在不可信数据反序列化漏洞，编号 CVE-2026-114196。根据 Rapid7 漏洞库收录的信息，该漏洞允许对象注入，CVSS 3.1 基础评分为 9.8，向量为 AV:N/AC:L/PR:N/UI:N/S...

在维护 Linux 服务器或云主机时，远程登录安全加固往往是上线合规的第一步。然而，许多运维人员与站长常因直接修改 /etc/ssh/sshd_config 或调整认证模块，导致会话瞬间中断，将自己彻底锁在系统之外。远程加固的核心并非单纯罗列安全策略，而是建立...

微软在 10 月累积安全更新中修复了追踪编号为 CVE-2026-96951 的 Windows Shell 安全功能绕过漏洞。美国网络安全与基础设施安全局（CISA）已确认该漏洞受到在野利用，并将其正式纳入已知被利用漏洞目录（KEV），要求组织加快修复排查。...