IT2021科技站

包发布常被视为 CI 流水线的最后一步，但它实际连接着开发者账号、源代码仓库、构建环境和包注册平台。一个容易被忽略的假设是：只要启用了多因素认证，发布凭据就安全了。实际上，MFA 主要保护交互式登录；长期有效的令牌、过宽的仓库权限或可被随意触发的发布任务，仍可...

2026 年 11 月 Android 安全公告发布后，最容易被放大的信息是“零点击远程代码执行”。Google 在公告中把 Framework 组件的 CVE-2026-58868 列为本轮最严重的漏洞：无需额外执行权限，也不需要用户交互，影响 Androi...

在获得书面授权、使用隔离测试网络和可回滚快照的前提下，验证 Debian 与 Ubuntu APT 供应链风险，重点不是构造通用远程利用，而是确认四个条件是否同时成立：系统到软件源之间的 HTTP 流量是否可被操纵、目标是否正处于软件包下载或安装窗口、Acqu...

在评估 AI 应用安全时，安全团队常遇到一个具体问题：治理框架、红队工具、防护资料散落各处，想找某个环节可用的资源，只能靠零散的博客文章和社群推荐拼凑。Awesome AI Security 这类资源合集解决的正是“从何处找”的问题：它把框架与标准、攻击与红队...

CVE-2026-86596 是 s2Member 插件中的一个代码注入漏洞，公开资料给出的 CVSS 评分为 9.8，影响 260927 及更早版本，并在 261017 版本中修复；已有公开的概念验证代码在 GitHub 上发布，并在一台实验室目标上确认可执...

CrowdStrike 于 2026 年 11 月 4 日宣布把企业浏览器安全能力接入 Falcon 平台，意味着浏览器内的部分行为将不再只依赖终端传感器来观测。受影响的首先是已经部署 Falcon 的终端与身份管理员：他们需要在现有控制台里确认新模块的开关、...

私有镜像仓库的凭证一旦泄露，风险不只在当前运行的容器：攻击者可能借此读取凭证有权访问的镜像，而下一次扩容、节点替换或工作负载重建也可能因凭证失效而拉取失败。Kubernetes 可以通过命名空间内的 Secret 和 imagePullSecrets 为镜像拉...

冷库、制冷机组和血液储存用温控设备被未授权操作时，问题通常不只是“控制器有没有漏洞”。更需要优先确认的是：谁能通过远程维护入口进入控制网络，供应商或外包人员拥有哪些账号权限，温度告警是否独立于被控设备，以及现场能否在远程连接失效后依靠人工流程维持安全状态。对这...

WordPress 核心更新期间，wp-content/upgrade/ 可能短暂出现解压后的临时文件。如果 Web 服务器能够直接访问这个目录，更新动作本身就会形成一个需要单独防护的时间窗口。CVE-2026-119977 被描述为与 WordPress 核...

SAST 与 SCA 扫描器通常只需要读取代码、依赖清单和少量仓库元数据，但服务账号有时会被授予创建分支、写入代码、管理仓库设置等权限。这样一来，扫描器凭证一旦泄露，影响范围就可能从“读取以便分析”扩大到“修改仓库或流水线”。收敛权限时，关键不是简单换成只读令...