Aggregator

A vulnerability was found in Christoph Vielgrader Relevanssi Light Plugin up to 1.2.2 on WordPress. It has been rated as critical. Affected by this issue is some unknown functionality. Performing a manipulation results in sql injection. This vulnerability is cataloged as CVE-2026-59533. It is possible to initiate the attack remotely. There is no exploit available.

国际能源署（IEA）的《Electricity Mid-Year Update 2026》报告预测，2026 年全球电力需求将增长 3.6%，2027 年将进一步增长 3.8%。全球电力消耗量到 2027 年将达到 30,700 TWh，相比下 2025 年为 28,600 TWh。 可再生能源有望在 2026 年超过煤炭成为全球最大的发电来源，2026 年可再生能源发电量将增长逾 8%，全球发电量中的份额将从 2025 年的 33% 提高至 2027 年的 37%。报告警告，天气相关变化可能会影响电力需求趋势，增加不确定性。2026 年强于预期的厄尔尼诺现象可能会增加制冷需求，进一步推高电力需求，同时可能导致部分地区的水力发电和风力发电量下降，增加对其它发电方式的依赖。

Philadelphia, Pennsylvania, July 27th, 2026, CyberNewswire Security Risk Advisors is proud to share that CRN, a brand of The Channel Company, has recognized Joe Cicero as a finalist in the second annual CRN Best of the Channel Awards in the Best Channel Visionary of the Year category. As a finalist, Joe is being spotlighted for […]

The post Security Risk Advisors Named a Finalist in CRN’s 2026 Best of the Channel Awards appeared first on Cyber Security News.

2008年至今，一个`?`让nginx rewrite模块躺着一个CVSS 9.2的堆溢出漏洞。脚本引擎「两遍扫描」中，算长度的引擎和执行拷贝的引擎状态不一致——一个认为「不需要escape」，另一个认为「需要」，导致按原始长度分配buffer却写入了escape展开后的内容。本文通过GDB调试验证了RCE的真实障碍，并开源了一套5模块自动化检测框架，从根因出发检测同类漏洞，而非依赖已知CVE签名

Compromised hotel Wi-Fi gateways redirect business travelers to fake Microsoft 365 login pages allowing attackers to steal credentials and authorization tokens.

本文复盘 Hack The Box 靶机 Jarmis 的完整渗透过程：从 nmap 扫描与 JARM 指纹识别入手，分析 API 行为、模糊查询与恶意指纹数据库，逐步发现 Fetch Jarm 功能背后的服务端请求特征。随后利用重定向验证 SSRF，借助 Gopher 构造原始 HTTP POST 请求，最终打通内网 OMI 服务的 CVE-2021-38647 认证绕过漏洞，以 root 权限

NVIDIA and a group of tech companies have formed an alliance to promote the use of open AI models in cybersecurity, days after OpenAI disclosed that one of its own AI models breached Hugging Face’s systems during an internal security evaluation. The new group, called the Open Secure AI Alliance, builds on work already underway at the Linux Foundation’s Akrites initiative and the Open Source Security Foundation (OpenSSF). “Open models, like any powerful technology, can … More →

The post Tech giants form alliance to put open AI in cyber defenders’ hands appeared first on Help Net Security.

Anthropic делает ИИ, но забыла закрыть свои же чаты от Google.

Public exploit details released on July 27 show how an unauthenticated request can reach PHP's eval() function inside vBulletin and execute code on an unpatched forum server. The attack requires no account, administrative access, or interaction from another user. SSD Secure Disclosure lists vBulletin 6.2.1 and earlier, and 6.1.6 and earlier, as affected, but does not give a lower version

数据显示，1990 年代以来，世界各地的大型湖泊水量减少五成。而干涸的湖床会将原来储存的碳释放到大气中。根据发表在《科学》期刊上的一篇论文，对全球最大的干涸湖泊咸海的研究显示，自 1960 年代干涸以来咸海向大气释放了 2.04 亿吨二氧化碳。研究是基于现场调查和收集的岩芯样本。如果咸海重新注满水将会带来巨大的环境益处。研究人员计算重新注满湖床可阻止剩余约 1.65 亿吨碳的释放。研究还发现，咸海近五分之一的碳排放是随着风吹走湖底沉积物而释放出来的，这一因素此前未被研究人员考虑在内。

A coalition of over 30 technology industry leaders, including NVIDIA, Microsoft, CrowdStrike, Cisco, IBM, Palo Alto Networks, and Red Hat, has launched the Open Secure AI Alliance. The initiative aims to equip cyber defenders with transparent, community-driven AI security tools to counter increasingly sophisticated digital threats. Building on the Linux Foundation’s Akrites project and the […]

The post NVIDIA Launches Open Secure AI Alliance to Build Open-Source Defenses for AI Agents appeared first on Cyber Security News.

AI 编码助手的权限/沙箱/Hook 三层防线如何被提示注入逐个击穿，核心问题在于规则匹配命令模式而非操作意图，且多数开发者默认不开沙箱、长期授权成最大软肋。

记一次 Rust 免杀 Loader 的折腾过程0x00 起因之前一直在用 Go 写 loader，千机那个项目搞了好几版，效果越来越差。最离谱的是有一次改了几个字符串重新编译，360 直接秒杀，连行为检测都没走到就被 QVM 静态干了。翻了一下 virustotal 上面 Go 编译的样本，发现只要是 Go 写的，不管功能多简单，360 基本都标红。原因也简单——Go 的 runtime 太大了

seek 是 DeepSeek-first 的本地终端 Agent，通过间接提示词注入可能导致写入WebShell、任意文件读取等危害

内网横向移动-todesk-新型攻击手法

HotSpot 的 Attach API 在 Linux 平台上以 /tmp/.java_pid 这个 Unix Domain Socket（UDS）作为唯一接入点。com.sun.tools.attach.VirtualMachine.attach()、jcmd、jstack、jmap 最终都落到这条 socket 上。

Langflow 是一个基于 Python 的低代码 AI 工作流编排平台，允许用户通过拖拽节点来构建和运行 LLM 应用。`CVE-2026-10561` 披露了一条存在于 Langflow `1.9.3` 中的未授权远程代码执行链：攻击者无需任何凭据即可获取 superuser 权限，进而通过内置的 Python 执行组件在目标容器内运行任意代码。这篇文章将沿着 `auto_login` 鉴权

深入分析dll劫持技术：利用系统 DLL 搜索顺序缺陷，通过路径优先级实现恶意代码持久化加载。包括共有dll和私有dll的劫持

VulnHuntr 深度拆解,从源码切入分析工具优缺点及改进方案