IT2021科技站

Google 已于 2026 年 11 月初发布当月 Android 安全公告，其中框架组件的一个漏洞被列为本次危险性最高的修复项：公告描述其可导致远程代码执行，且无需额外执行权限，利用过程也不需要用户交互。对设备管理员、MDM 运维人员和安全从业者而言，这条...

边缘设备长期被视为网络的"门面"，但最新一份行业报告给出了一个不太体面的数字：这类设备上的漏洞从披露到完全修复，中位耗时为 32 天，而在报告纳入统计的边缘设备已被在野利用漏洞中，只有 54% 完成了彻底修复。与之对照的是另一端的变化——攻...

如果你正在寻找一个能反复复现 Java 漏洞、又能对照修复代码和审计笔记的练习环境，JavaSecLab 是一个值得关注的选项。它是一个基于 Spring Boot 的综合型 Java 漏洞靶场，仓库中围绕命令执行、SQL 执行、文件访问、模板渲染、反序列化、...

对 WordPress 站点来说，/wp-login.php 往往比首页更值得单独看管：它不能被缓存、每次请求都要拉起 PHP-FPM、失败尝试还会写入数据库。但登录入口同时也是办公出口、运维跳板和真实编辑者共用的路径，一旦限速过头，先受影响的往往不是攻击者，...

CVE-2026-109390 值得远程运维团队立刻处理，原因不在于分数高，而在于它的触发条件几乎与日常使用方式重合。据公开漏洞情报，AnyDesk 8.0.3 之前的版本在会话协议处理中存在堆缓冲区溢出，未经身份认证的远程攻击者可在 Linux 上以 roo...

在 GitOps 交付链路里，风险通常来自两个位置：一是镜像本身携带已知漏洞或来源不可信，二是 Kubernetes 清单把不安全的配置带进集群。很多团队在 CI 里跑了 Trivy、KubeSec 和 Cosign，却仍然让问题制品进入生产，原因是 CI 的...

开发者安装 IDE 扩展的动作，和 npm install 一样自然：搜索、点击安装、重启编辑器，然后继续写代码。容易被忽略的安全假设也藏在这个动作里——扩展市场里的包等同于可信包，版本号等同于代码指纹，装完没报错等同于没有副作用。实际上，IDE 扩展运行在开...

核验 IDOR 的第一步，是在测试计划里明确写下“这次要证明什么、在哪些对象上证明、证明到什么程度就停”。IDOR（Insecure Direct Object Reference，不安全对象直接引用）在概念上常被归入访问控制缺陷，但真正决定核验质量的是资源归...

苹果已在官方支持页面公布 Safari 26.5.2 与 26.6 的安全性内容，修复项集中在 WebKit 渲染引擎，涉及跨源信息泄露和 Canvas 释放后使用导致的浏览器意外崩溃。公告列出的受影响系统包括 macOS Sonoma 与 macOS Seq...

Garak（Generative AI Red-teaming & Assessment Kit）是一个开源的 LLM 漏洞扫描器，由 NVIDIA 参与维护，采用 Apache 2.0 许可，通过 PyPI 以 garak 包分发。它的工作方式很直接...