Aggregator

Pinning 状态下的 Thread.sleep、Object.wait、阻塞式 IO 走的是普通平台线程阻塞分支，载体线程在 FJP 的视角里仍然处于 RUNNING 状态，只是在执行一个很慢的任务。FJP 不会为一个看起来"还在跑"的任务开新载体

Cybersecurity researchers have disclosed details of two access control-related flaws impacting the RabbitMQ message broker service that could allow attackers to leak OAuth client secrets, expose enterprise messaging infrastructure to takeover risks, and bypass tenant boundaries. Miggo's security team, which discovered and reported the flaws, said one "leaks the broker's confidential OAuth

阿里云先知- AI攻防安全专家（P6/P7）

ai半自动化漏洞分析

2026polarctf夏季赛Escape, escape!特辑

一个AI客服的/debug接口泄露了K8s地址，model参数能当SSRF打，顺着捅到集群Secrets直接拿到凭证——两小时，从API到K8s。

先知安全沙龙第15场 - 内核漏洞深度剖析：从最新案例到 AI辅助的0day发现之路

内网横向移动-todesk-新型攻击手法

先知安全沙龙第15场 - 墨白：从 Chatbot 到 Agentic 安全智能体的演进与工程实践

一个fd没关，就能从容器逃到宿主机。CVE-2024-21626（CVSS 8.6）的完整技术复盘，四种攻击变体逐个复现，附红蓝评分和生产级防御方案。

Four AsyncAPI packages previously affected by the Shai-Hulud: The Second Coming campaign have been compromised again, with new malicious releases delivering a RAT-focused build of the Miasma worm. The impacted versions are @asyncapi/generator 3.3.13.3.13.3.1, @asyncapi/generator-components 0.7.10.7.10.7.1, @asyncapi/generator-helpers 1.1.11.1.11.1.1, and @asyncapi/specs 6.11.26.11.26.11.2 and 6.11.2−alpha.16.11.2-alpha.16.11.2−alpha.1. Unlike the prior Miasma activity, the AsyncAPI packages do not use malicious […]

The post Miasma Worm Returns as RAT-First npm Attack With Automatic Propagation Disabled appeared first on GBHackers Security | #1 Globally Trusted Cyber Security News Platform.

深入浅出bypass open_basedir

AutoCVE - 一键挖掘 CVE，筛项目、审源码、验漏洞、出报告，全流程自动化

一台Ollama服务器暴露到公网后会发生什么？本文记录了完整的安全评估过程：13个API端点全部无认证、模型可被任意复制删除篡改、服务器配置通过api/show完整泄露——而最想复现的SSRF漏洞（CVE-2024-37032），在新版本中已被修复。最意外的发现是，服务启动仅2分钟后，互联网扫描器已经出现在访问日志中。文末附可复现的Ollama安全基线检查清单，每条curl命令都可在你的服务器上直

同一个 URL，Python urllib、requests、浏览器、Go 的解析结果可能完全不同。利用这些差异绕过 WAF 对 SSRF 的防护

二进制逆向分析两个zip内包含的恶意组件，并监控其行为逻辑与恶意特征

前几日在学校水群里看到有群友给随身wifi刷了ubuntu，感觉很有意思，于是便去闲鱼上看看什么情况，发现猿莱氏骁龙410的SoC做的随身wifi，于是随便找了个店家直接下单购入，刷机玩玩。到货之后进行一个雷霆大拆解，如图：很显然啊，这个板子的型号是FY_UZ801_V2.1，网上找了找，似乎可以刷 OpenStick ，于是直接启动，刷机过程在https://www.cnblogs.com/la

7 个月，503 个测试用例，13 个检测插件，一个完全自研的 Web 漏洞扫描器。这篇文章不讲虚的，拆开聊聊 OOB 盲检测的三个后端设计（为什么做了 DNSLog + Interactsh + 自建 CallbackServer 三套）、API 挖掘的两阶段思路（Swagger 解析 + 路径 Fuzzing）、以及那个把我逼疯之后重写的差异引擎（加权打分 + 自动清洗，专门治动态页面误报）。

Anthropic、Google 和 OpenAI 等 AI 公司高管以及经济学家和计算机科学家联署发表公开信，呼吁就 AI 对经济和就业的影响立即采取行动。公开信称：“未来 10 年 AI 可能会变得强大得多。可能推动经济发生前所未有的转变，其规模超越工业革命，但速度却快得多。这可能带来风险，包括大规模就业岗位流失，同时也可能带来机遇，比如生活水平的大幅提升。”联署人之一的 Yoshua Bengio 认为，“我们必须有意识的做出集体、民主的选择，而不是任由市场力量发挥作用，从而冒着让大多数公民被抛在后面的风险，AI 极有可能彻底改变我们的经济。”AI 最近一段时间引发了更多人的反感，因此也有很多人认为 AI 泡沫濒临破裂，利益攸关者可能不想让泡沫太早破灭。