ChainDrop蠕虫攻陷npm逾1300个包自我传播蠕虫ChainDrop已入侵npm仓库超过1300个包，合计月下载量达20亿次，包括Keyv、Cacheable等热门缓存工具。攻击始于黑客攻破Keyv维护者的GitHub账号，并蔓延至Deliveroo、Qlik、ServiceTitan等机构相关包；恶意版本经正...  阅读全文>>

new-api修复计费漏洞：超大参数可触发负数扣费QuantumNous/new-api项目提交两个修复，堵住了计费系统中的一个安全漏洞。该漏洞源于部分用户可控参数缺少严格的边界校验，当数值过大的参数进入quota计算后，可能触发整数溢出，导致原本应扣除的费用被错误计算为负数，产生类似"反向充值"的效果。修复提交针对核...  阅读全文>>

kernel.org镜像基础设施出错致/pub目录变空，数据未丢失正在恢复7月2日，Linux内核开发者K.Ryabitsev-Prime发文称，kernel.org的主/从镜像基础设施在切换过程中出现意外错误，导致/pub目录突然变空。他强调没有数据丢失，受影响的只是公开镜像副本，目前正在进行恢复。由于删除操作很快而...  阅读全文>>

哪吒探针曝严重未授权路径穿越漏洞，一条GET请求拿下管理员。今天就已经有人中招了，机器被人拿来挖矿了，top查看一下进程看有没有高占用CPU的进程，比如xmrig之类。官方早已完成了漏洞的修复，现在尽快把面板和Agent都更新到最新版。https://github.com/nezhahq/nezha/security/...  阅读全文>>

微软将默认向装有Microsoft365桌面应用的Windows设备安装Copilot应用微软计划在6月中旬至7月中旬，向装有Microsoft365桌面应用的符合条件Windows设备自动安装Microsoft365Copilot应用，欧洲经济区不在此次推送范围内。安装默认开启，通过Office内置更新机制完成，不需...  阅读全文>>

OpenAI启动修补地球计划用AI帮开源软件找漏洞OpenAI宣布扩展Daybreak网络安全计划，推出PatchthePlanet倡议并与TrailofBits等机构合作，用AI模型配合人工审核帮助开源项目修复漏洞。目前已覆盖cURL、Go、Python等30多个项目，发现数百安全问题并合并数十补丁，同时在Linux...  阅读全文>>

哪吒监控探针存在CVSS评分为9.1的高危路径穿越漏洞哪吒监控（Nezha）v2.0.13以下版本存在严重未授权路径穿越漏洞，编号CVE-2026-53519，CVSS评分为9.1属高危级别。攻击者通过构造GET请求（如/dashboard../data/config.yaml）即可读取配置文件，获取其中的JWT密钥。...  阅读全文>>

GitHub确认员工设备被“投毒”扩展攻破，约3800个内部仓库遭外泄GitHub证实，其内部代码仓库发生未授权访问事件，源头是一名员工电脑安装了被投毒的VSCode扩展程序。公司称，攻击者声称获取的约3800个内部仓库数量，与当前调查判断“方向一致”。GitHub已紧急移除恶意扩展、隔离终端并轮换关键密钥，同时强调暂...  阅读全文>>

NGINX曝严重远程代码执行漏洞，潜伏代码库18年，全球数亿服务器面临风险2026年5月13日，安全研究机构depthfirst与F5联合披露了NGINX中一个编号为CVE-2026-42945的严重漏洞，CVSSv4.0评分达9.2。该漏洞属于堆缓冲区溢出类型，存在于ngx_http_rewrite_module模块...  阅读全文>>

Linux内核现严重本地提权漏洞，全主流发行版暂无补丁一名安全研究人员本周公开披露了一个被命名为”DirtyFrag”的Linux内核本地权限提升漏洞。该漏洞允许普通用户无需密码即可获得系统最高权限（root），且目前Ubuntu、RHEL、Fedora、openSUSE等全部主流发行版均尚无可用补丁。该漏洞由韩国安全...  阅读全文>>