Posts of last few hours

Veeam security advisory (AV26-513) – Update 1
https://cyber.gc.ca/en/alerts-advisories/veeam-security-advisory-av26-513
MISP security advisory (AV26-946)
https://cyber.gc.ca/en/alerts-advisories/misp-security-advisory-av26-946
FCT-IRS Full Breach Claim Includes 5M Records and 121K Users
A forum actor posting as Individual is selling what they claim is a full breach of the Federal Capital Territory Internal Revenue Service (FCT-IRS) in Nigeria.
https://darkwebinformer.com/fct-irs-full-breach-claim-includes-5m-records-and-121k-users/
MongoDB Security Advisory (AV26-945)
https://cyber.gc.ca/en/alerts-advisories/mongodb-security-advisory
Google 因地理位置数据处理被爱尔兰罚款 4.03 亿欧元
Google 因地理位置数据处理被爱尔兰数据保护委员会（DPC）罚款 4.03 亿欧元。DPC 对 Google 的调查持续了六年，涉及 Google 在 2018 年 5 月 25 日至 2020 年 2 月 4 日间 Web & App Activity、Location History 和 Location Accuracy 三项功能的位置数据处理。DPC 的报告认为 Google 的位置数据处理违反了 2018 年生效的数据保护法律 GDPR，可能导致用户未意识到自己的位置信息正被用于投放定向广告或推断其兴趣偏好，丧失对自己个人数据的控制权。Google 发表声明，表示它从 2019 年起就调整了位置数据管理。引入了位置数据自动删除功能。

https://www.solidot.org/story?sid=85447
原域名已变更且将在2024年彻底废弃，请访问 https://govuln.com/news/ 查看新的RSS订阅
原域名已变更且将在2024年彻底废弃，请访问 https://govuln.com/news/ 查看新的RSS订阅
https://govuln.com/news/url/x8dB
Fédération Française de Spéléologie Dataset Claim Covers 93,493 Members
A forum actor posting as RedStone is offering what they claim is the full database of the Fédération Française de Spéléologie (FFS), France's national caving federation.
https://darkwebinformer.com/federation-francaise-de-speleologie-dataset-claim-covers-93-493-members/
Exim security advisory (AV26-944)
https://cyber.gc.ca/en/alerts-advisories/exim-security-advisory-av26-944
IBM security advisory (AV26-943)
https://cyber.gc.ca/en/alerts-advisories/ibm-security-advisory-av26-943
Googlebooks 于 10 月 4 日上市，最低 899 美元
深度集成 Gemini、运行 Android 的笔记本电脑 Googlebooks 将于 10 月 4 日上市。Google 硬件合作伙伴中除了宏碁推出一款起售价 899 美元的型号外，其余厂商的产品都超过 1000 美元。Googlebook 不同于 Chromebook 面向低端市场，它面向的是中端笔记本电脑市场。Googlebooks 的 Continue On 功能允许用户在手机或 Googlebook 之间无缝切换，但需要应用开发者支持；Cast My Apps 可以直接在 Googlebook 上使用 Android 手机已安装应用；Play Store 是 Googlebook 获取应用的主要渠道，侧载受到了限制，只能安装运行已通过 Google 验证身份的开发者的应用；通过深度集成 Gemini Intelligence，用户仅仅移动光标就能激活被称为“Magic Pointer”的 AI 功能，AI 会分析屏幕上的内容，根据上下文提供建议，能从多个应用中提取数据。比如将光标指向电邮中的日期即可创建日历预约。

https://www.solidot.org/story?sid=85446
AI 聊天机器人经常给出错误的财务问题答案
Saturn 的一项研究显示，ChatGPT、Claude、Copilot、Grok 和 Gemini 等主流 AI 模型在回答财务相关问题时，平均有 57% 会给出错误答案。研究使用了逾百个财务相关问题，分别测试了 ChatGPT、Gemini、Claude 和 Copilot 提供的免费及付费 AI 模型。每个问题最多重复提问五次，向 18 种 AI 模型共提出了逾 10,000 个问题。研究发现，AI 模型的回答中包含计算错误、遗漏即将实施的税收政策变更，或是凭空捏造规则（即幻觉）。在最严重的情况下，依赖 AI 对税务问题的回答可能导致严重的经济损失。研究发现，付费模型的回答比免费模型更准确，较新的模型表现优于较旧的模型。表现最好的是推理模式的 Claude Opus 5，但仍然有 39% 的答案存在错误。

https://www.solidot.org/story?sid=85445
婴儿潮一代沉迷于社交网络
青少年有社交网络成瘾问题，年龄超过 60 岁的婴儿潮一代也存在类似问题。YouGov 在 2026 年进行的一项民调发现，55 岁以上人群有超过五成每周至少使用一次社交媒体。62 岁的 Tracie 女士说，拿起手机就忘记放下了，称很多同龄人都沉迷于不断向下滑动手机屏幕浏览信息。Surrey 大学副教授 Brigitte Stangl 认为，社交媒体在缓解老年人孤独感方面非常有效，“上网可消除行动不便或交通出行困难带来的问题”——这些问题对老年群体影响最为显著。61 岁的演员 Kerri Hedley-Cheney 称，社交媒体让她能加入表演组织，建立人脉和互相支持。她同时也承认可能会在社媒上浪费几小时时间。她指出，使用社交媒体也缩短了她的注意力持续时间，类似年轻人，她现在的注意力间隔只有大约 10 秒钟。

https://www.solidot.org/story?sid=85444
What AI Can, Cannot, and Should Not Do
https://www.akamai.com/blog/ai/2026/sep/what-ai-can-cannot-should-not-do
Groovy 沙箱绕过技术分析-以Apache Syncope为例的多版本RCE绕过
本文以 Apache Syncope 的一个真实漏洞链为例，整理 Groovy 黑名单沙箱的三类绕过方式：解释器逃逸、运行时间接调用、反射与黑名单盲区。每种方式都会从沙箱的实现原理出发，说明绕过的切入点在哪、为什么能绕过，并给出在真实目标上的利用效果。
https://xz.aliyun.com/news/92835
WebOb CVE-2026-54770：一个 `next` 参数如何变成越站重定向
很多 open redirect 漏洞第一次看都不太“吓人”。它既不是 RCE，也不会像 SQL 注入那样一眼就让人绷紧神经
https://xz.aliyun.com/news/92756
一条 exec 如何穿过沙箱：DeepSeek Harness QVD-2026-52646 漏洞与安全模型分析
关于DeepSeek Harness安全问题的小研究
https://xz.aliyun.com/news/92841
从 APP 异常请求发现外围服务器文件上传漏洞:我是如何30分钟发现高危的
记录一次真实众测中的攻击面扩展过程。文中资产信息均已脱敏，仅用于技术交流。
https://xz.aliyun.com/news/92800
三条超线性路径与一个参数上限：Nodemailer GHSA-2x7j-588g-ccc2 地址解析 DoS 深度分析
它不是内存安全漏洞，也不是逻辑越权。它的本质是：地址解析层中存在三条相互独立的超线性（近二次）性能路径与一个参数上限触发的异常路径，而地址解析在 Node.js 的单线程事件循环上同步执行。
https://xz.aliyun.com/news/92860
分析 Hono parseBody({ dot: true }) 内存耗尽漏洞
这类漏洞的攻击价值不在代码执行，而在于用一个看起来并不大的 form 请求，把目标服务拖进高内存占用、长时间 GC，甚至直接 OOM 退出的状态。
https://xz.aliyun.com/news/92757
IFUNC 重定向:内核还没交权,resolver 已经在跑
STT_GNU_IFUNC 的 resolver 是动态链接器在重定位期主动调用的用户代码:它比 main 早,比一切构造函数早,是 ELF 规范里“留了门”的加载期执行点。 任何“加载器在 main 之前调用的回调点”都是加载期代码执行的支点,IFUNC 是最早的那一个,而它的执行时机由绑定模式决定。
https://xz.aliyun.com/news/92771

Managed ad