Aggregator

YouTube测试新功能：通过分析用户行为和账户信息判断是否为未成年人。若判定为未成年，则启用数字健康工具并限制部分视频观看。若误判需通过身份验证解除限制。

文章描述了错误代码521的原因、影响及解决方法。该错误通常由CDN服务提供商与源服务器连接问题引起，导致网站无法正常加载。用户可尝试清除缓存、更换DNS服务器或联系网络管理员解决问题。

HackerNews 编译，转载请注明出处： 网络安全研究人员披露了流行氛围编程平台Base44的一处关键安全漏洞（现已修复），该漏洞可能导致攻击者越权访问用户构建的私有应用程序。云安全公司Wiz向《黑客新闻》提供的报告中指出：“我们发现的漏洞利用方式异常简单——攻击者仅需向未公开的注册和邮件验证端口提交非机密的app_id值，就能为其平台上的私有应用创建已验证账户”。 该漏洞的最终影响是“绕过所有身份验证控制（包括单点登录防护），获取私有应用程序及其内部数据的完全访问权限”。经2025年7月9日负责任披露后，平台所有者Wix公司在24小时内发布了官方修复补丁。目前无证据表明该漏洞曾在真实环境中遭恶意利用。 氛围编程作为一种人工智能驱动的技术，旨在通过文本指令自动生成应用代码。随着AI工具在企业环境中的普及，最新研究揭示了传统安全范式可能“未能充分应对的新兴攻击面”。Wiz在Base44中发现的问题源于配置缺陷——两个身份验证相关端口未设任何限制，导致攻击者仅凭“app_id”参数即可注册私有应用： api/apps/{app_id}/auth/register：通过提交邮箱地址与密码注册新用户 api/apps/{app_id}/auth/verify-otp：通过一次性密码（OTP）验证用户 由于“app_id”值属于非敏感数据，会直接显示在应用URL及其manifest.json文件路径中，攻击者不仅能利用目标应用的app_id注册新账户，还可通过OTP验证邮箱地址，“从而获取本无权限访问的应用程序控制权”。安全研究员Gal Nagli解释：“确认邮箱后，我们直接通过应用页面的单点登录系统成功越权访问。这意味着Base44托管的私有应用程序均可被非授权获取”。 与此同时，安全研究证实当前最先进的大语言模型（LLM）和生成式AI工具存在被“越狱或遭受提示词注入攻击的风险”，导致其突破伦理防护机制产生恶意响应、合成虚假内容或出现幻觉现象。某些情况下，AI系统甚至“会在错误反论证前放弃正确答案，对多轮交互系统构成威胁”。近期已记录的攻击案例包括： Gemini CLI因上下文文件验证缺失、提示注入及误导性用户体验形成“毒性组合”，致使检查恶意代码时静默执行危险指令。 利用托管于Gmail的特制邮件诱骗Claude重写内容，突破限制实现代码执行。 通过回声室效应与渐强策略越狱xAI的Grok 4模型，在无显性恶意输入下诱导有害响应（该模型在99%无加固提示场景中泄漏受限数据并遵循攻击指令）。 操控OpenAI ChatGPT通过竞猜游戏泄露有效Windows产品密钥。 Nagli强调：“AI开发领域正以空前速度演进，将安全性植入平台基础架构（而非事后补救）对释放技术潜力与保护企业数据至关重要。”       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

The U.S. Cybersecurity and Infrastructure Security Agency (CISA) has issued an urgent alert regarding the active exploitation of a critical vulnerability in the widely used print management software, PaperCut NG and MF. The flaw,...

The post PaperCut NG/MF Vulnerability (CVE-2023-2533) Under Active Exploitation, Allows Remote Code Execution appeared first on Penetration Testing Tools.

本周，互联网网络安全态势整体评价为良。

当前环境出现异常，请完成验证后继续访问。

The saga surrounding the Tea app—marketed as a safe haven for women—has now escalated into a second major data breach within a week, and this time the implications are far more severe. An independent...

The post Tea App’s Second Breach: 1 Million+ Private Messages Exposed, Including Sensitive Discussions appeared first on Penetration Testing Tools.

Let’s GoSSIP 软件安全暑期学校预告第二弹——Empc

微软NTFS文件系统自1993年起支持扩展属性，并于1994年加入访问控制功能。Authenticode技术用于对可执行文件等进行数字签名。Windows Explorer需“读取扩展属性”权限才能显示“数字签名”属性页，但该权限并非必要以读取文件数据或签名信息。

Helmholz工业路由器REX100和mbNET.mini设备存在多处高危漏洞，包括命令注入、拒绝服务、SQL注入、缓冲区溢出和XSS等。这些漏洞可能导致设备被远程控制或数据泄露。建议用户升级至最新版本2.3.3以修复问题。

Apple visionOS 2.6修复了多个安全漏洞，涉及内存损坏、权限提升及应用崩溃等问题，并提供了更新指导链接。

tvOS 18.6修复了多个安全漏洞，包括内存处理问题、网络设置修改风险及恶意文件导致的内存腐败等。这些问题由多家安全团队发现并报告。

苹果发布watchOS 11.6更新，修复多个安全漏洞，包括应用崩溃、内存泄露及权限绕过风险，并致谢研究人员贡献。

苹果发布macOS Ventura 13.7.7更新，修复多个安全漏洞，涉及权限提升、数据泄露、拒绝服务等问题，并提供改进验证、内存处理等修复措施。

苹果发布macOS Sonoma 14.7.7安全更新，修复了多个漏洞，包括权限提升、拒绝服务、数据泄露等问题。更新改进了组件验证、内存处理和逻辑限制，并增加了对恶意应用的防护措施。

macOS Sequoia 15.6修复了多个安全漏洞，包括权限问题、内存错误、逻辑漏洞等，涉及CoreMedia、WebKit等多个组件，并改进了输入验证和内存处理。部分漏洞由研究人员发现并协助修复。更新可通过Mac App Store或Apple官网获取。

Apple发布iPadOS 17.7.9安全更新，修复了多个漏洞，包括隐私指示显示错误、恶意文件导致应用终止、敏感数据泄露等问题。该更新适用于部分iPad型号，并通过iTunes和软件更新提供。建议用户尽快安装以提升设备安全性。

文章报告了Seotoaster v2.5.0中的Stored XSS漏洞，允许攻击者通过"Edit General Info"功能注入恶意脚本。作者提供了详细的利用步骤和HTTP请求响应示例。

Seotoaster v2.5.0 存储型 XSS 漏洞存在于“创建页面”功能中。攻击者通过在“元描述”字段注入恶意脚本（如 ``），可在目标页面加载时触发跨站脚本攻击。

Open Redirect漏洞存在于seotoasterv2.5.0中，攻击者可通过设置Referer头中的恶意域名，在用户登录后重定向至攻击者控制的页面，可能导致钓鱼或其他攻击行为。