IT2021科技站

冷库、制冷机组和血液储存用温控设备被未授权操作时，问题通常不只是“控制器有没有漏洞”。更需要优先确认的是：谁能通过远程维护入口进入控制网络，供应商或外包人员拥有哪些账号权限，温度告警是否独立于被控设备，以及现场能否在远程连接失效后依靠人工流程维持安全状态。对这...

WordPress 核心更新期间，wp-content/upgrade/ 可能短暂出现解压后的临时文件。如果 Web 服务器能够直接访问这个目录，更新动作本身就会形成一个需要单独防护的时间窗口。CVE-2026-119977 被描述为与 WordPress 核...

SAST 与 SCA 扫描器通常只需要读取代码、依赖清单和少量仓库元数据，但服务账号有时会被授予创建分支、写入代码、管理仓库设置等权限。这样一来，扫描器凭证一旦泄露，影响范围就可能从“读取以便分析”扩大到“修改仓库或流水线”。收敛权限时，关键不是简单换成只读令...

OWASP Nettacker 是 OWASP 项目中的 Python 自动化安全测试框架，可用于在授权范围内开展资产巡检和安全检查。它适合需要把目标范围、扫描执行、结果复核串成可追溯流程的安全人员和运维人员；扫描结果是进一步调查的线索，不等同于已确认漏洞，也...

本文以同一漏洞在 JavaSecLab 中的易受攻击实现与已修复实现为对照，说明如何建立可复核的本地测试基线，并用 SAST 与 DAST 检查工具能否发现差异。JavaSecLab 项目介绍了漏洞代码、修复实现、攻击场景和审计线索，可用于应用安全学习与工具评...

Kubernetes 集群升级期间，控制面、新旧节点、容器运行时和网络插件可能暂时处于不同版本。安全风险不只是组件能否启动：API 服务器可能接受了符合准入规则的 Pod，但节点上的运行时默认值、实际内核限制或网络策略执行结果并不相同。最终表现可能是策略对象和...

Google 已于 2026 年 11 月初发布当月 Android 安全公告，其中框架组件的一个漏洞被列为本次危险性最高的修复项：公告描述其可导致远程代码执行，且无需额外执行权限，利用过程也不需要用户交互。对设备管理员、MDM 运维人员和安全从业者而言，这条...

边缘设备长期被视为网络的"门面"，但最新一份行业报告给出了一个不太体面的数字：这类设备上的漏洞从披露到完全修复，中位耗时为 32 天，而在报告纳入统计的边缘设备已被在野利用漏洞中，只有 54% 完成了彻底修复。与之对照的是另一端的变化——攻...

如果你正在寻找一个能反复复现 Java 漏洞、又能对照修复代码和审计笔记的练习环境，JavaSecLab 是一个值得关注的选项。它是一个基于 Spring Boot 的综合型 Java 漏洞靶场，仓库中围绕命令执行、SQL 执行、文件访问、模板渲染、反序列化、...

对 WordPress 站点来说，/wp-login.php 往往比首页更值得单独看管：它不能被缓存、每次请求都要拉起 PHP-FPM、失败尝试还会写入数据库。但登录入口同时也是办公出口、运维跳板和真实编辑者共用的路径，一旦限速过头，先受影响的往往不是攻击者，...