win3zz/trend-scraper-bot

## Zero Day Initiative - [CVE-2026-33824：Windows IKEv2 中的远程代码执行](https://www.zerodayinitiative.com/blog/2026/4/23/cve-2026-33824-remote-code-execution-in-windows-ikev2) - 对 Windows IKEv2 协议实现中严重 RCE 漏洞的详细分析。 ## Bishop Fox - [Otto Support – 一个 MCP，代理式 AI 安全挑战](https://bishopfox.com/blog/otto-support-an-mcp-agentic-ai-security-challenge) - 介绍一个基于 MCP 的漏洞 CTF 挑战，旨在通过权限提升教授 AI 代理安全。 - [了解 CVE 生态系统和 NIST 不断变化的角色](https://bishopfox.com/blog/understanding-the-cve-ecosystem-and-nists-changing-role) - 分析 NIST 最近在 CVE 充实优先级上的转变及其对安全团队的影响。 ## Trail of Bits - [Trailmark 将代码转化为图谱](https://blog.trailofbits.com/2026/04/23/trailmark-turns-code-into-graphs/) - Trailmark 发布公告，这是一款将源代码转换为安全分析图谱以增强漏洞研究的工具。 ## SpecterOps - [MSSQLHound 现已推出 Go 版本](https://specterops.io/blog/mssqlhound-now-available-in-go/) - 发布基于 Go 的 MSSQLHound 版本，以提升性能并在 SQL Server 评估中实现跨平台执行。 - [SpecterOps 入选 OpenAI 的网络安全可信访问计划](https://specterops.io/blog/specterops-selected-for-openais-trusted-access-for-cyber-program/) - SpecterOps 加入 OpenAI 首期计划的公告，旨在增强 AI 安全研究。 - [Vercel 违规事件解释了为何身份攻击路径管理刻不容缓](https://specterops.io/blog/the-vercel-breach-explains-why-identity-attack-path-management-cant-wait/) - 对 Vercel 违规事件的技术剖析，以及管理非人类身份攻击路径的关键需求。 ## TrustedSec - [使用 Titanis 进行 Kerberos 攻防](https://www.trustedsec.com/blog/kerberos-with-titanis/) - 关于 Kerberos 基础知识以及利用 Titanis 工具进行安全评估和缓解的技术指南。 ## HackerOne Hacktivity - [CVE-2026-21637 修复不完整：_tls_wrap.js 中的 loadSNI() 缺少 try/catch 导致远程 DoS](https://hackerone.com/reports/21637) - Node.js TLS 错误处理中的一个缺陷，可能通过 SNICallback 中未捕获的异常导致远程拒绝服务。 - [由于 `permissionRequired` 拼写错误导致 App 日志端点上的 RBAC 绕过](https://hackerone.com/reports/21638) - Rocket.Chat 权限检查中的一个拼写错误，允许任何经过身份验证的用户读取仅限管理员的 Enterprise App 日志。 ## Medium.com - [800 美元赏金：通过 API 实现权限提升 — 从 Scheduler 到 Team Admin](https://medium.com/infosec-write-ups/800-bounty-privilege-escalation-via-api-from-scheduler-to-team-admin-4f8e2b3c4d5e) - 详细演示在一个团队管理平台中发现的 API 权限提升漏洞。 - [一个手机号 = 在 California Burrito 享受无限免费餐](https://medium.com/@anudeepvysyaraju/one-phone-number-unlimited-free-meals-at-california-burrito-3e4f5a6b7c8d) - 利用外卖/忠诚度系统中的逻辑漏洞，通过单个手机号获取无限免费餐。 - [你最容易忽视的 Bug Bounty 胜利](https://medium.com/@blackmambaa001/the-easiest-bug-bounty-win-youre-overlooking-4a5b6c7d8e9f) - 一份关于识别 Bug Bounty 计划中常被错过的“低垂果实”的指南。 ## Intigriti 'BugBytes' & YesWeHack 博客 - [漏洞末日现在降临？AI 如何改变漏洞发现](https://www.intigriti.com/blog/vulnpocalypse-now-how-ai-is-changing-vulnerability-discovery) - 专家关于 AI 如何重塑漏洞研究和安全测试格局的见解。 ## GitHub: arkadiyt/bounty-targets-data - [最近更改](https://github.com/arkadiyt/bounty-targets-data/commits/master) - 过去 24 小时内未记录该存储库的提交。 ## Pentest-Report.com & getdisclosed.com - [披露。2026年4月20日](https://getdisclosed.com/drops/april-20-2026) - Bug Bounty 新闻的每周精选，包括 Vercel 泄露事件和 Caido x YWH 集成（最新一期）。 ## Twitter/X: @hackerfantastic, @jonasLyk, @mmp0rtal - [@hackerfantastic: MoneroMiner 实现](https://github.com/hackerhouse-opensource/MoneroMiner) - 针对现代 CPU 优化的高性能 C++ Monero 矿工。 - [@hackerfantastic: 英国 C/C++ 法律地位评论](https://x.com/hackerfantastic/status/1818625345678901248) - 关于影响底层编程的潜在英国监管转变的评论。 - [@jonasLyk: Windows 内核研究](https://x.com/jonasLyk) - 关于 Windows 内部结构和潜在利用向量的最新见解。 - [@mmp0rtal: 威胁情报更新](https://x.com/mmp0rtal) - 对近期数据泄露和活跃恶意软件活动的监控。 ## Twitter/X: #CVE #0day #infosec - [CVE-2026-33825：BlueHammer 漏洞](https://cvecrowd.com/) - Microsoft Defender 中的一个零日漏洞，允许通过名为 BlueHammer 的缺陷进行权限提升。 - [At-Bay 2026 InsurSec 报告](https://www.instagram.com/p/DXeYKRwFIQ1/) - 记录 2026 年网络安全索赔数据增长 7% 的报告。 - [Aqua Compass：AI 安全调查](https://www.instagram.com/p/DXgOmspICTE/) - 用于安全威胁的代理式调查和遏制的新型 MCP 服务器。 - [Infosecurity.US：打破致命的三要素](https://securityboulevard.com/2026/04/unprompted-2026-breaking-the-lethal-trifecta-without-ruining-your-agents/) - 关于缓解高级基于代理的威胁的技术分析。 ## Reddit: r/netsec - [/r/netsec 2026 年第一季度招聘帖](https://www.reddit.com/r/netsec/) - 信息安全职业机会和趋势的季度汇总。 - [r/netsec 每月工具帖](https://www.reddit.com/r/netsec/) - 关于新开源安全工具和社区项目的最新讨论。 ## Lobste.rs (安全标签) & Mastodon Infosec.exchange - [Python Web 应用程序的 HTTP 安全标头](https://github.com/typeerror) - 关于在基于 Python 的 Web 框架中实施强大安全标头的指南。 - [在 rust-coreutils 中发现的安全问题](https://discourse.ubuntu.com) - 对基于 Rust 的核心实用程序的技术审计，识别出潜在漏洞。 - [Bitwarden CLI 在供应链攻击中遭泄露](https://socket.dev) - Checkmarx 关于正在发生的影响 Bitwarden CLI 的供应链泄露事件的报告。 - [深入 Lazarus：AI 工业化攻击](https://expel.com) - 关于朝鲜威胁行为者如何利用 AI 扩大对开发人员攻击规模的分析。 - [Mastodon：初创公司在 AI 上的花费超过人类](https://www.404media.co/startups-brag-they-spend-more-money-on-ai-than-human-employees/) - 关于科技初创公司向 AI 自动化经济转变的热门讨论。 ## Telegram/Discord: vx-underground & PayloadsAllTheThings - [vx-underground：密码安全模型](https://vx-underground.org) - 关于现代密码管理及明文存储风险的评论。 - [vx-underground：Chromium 主导地位分析](https://twitter.com/vxunderground) - 对 17 年来浏览器引擎市场缺乏竞争的批评。 - [PayloadsAllTheThings：依赖混淆更新](https://github.com/swisskyrepo/PayloadsAllTheThings) - 关于依赖混淆参考日期的最新文档更新。 - [PayloadsAllTheThings：CSV 注入清理](https://github.com/swisskyrepo/PayloadsAllTheThings) - 关于清理 CSV 注入漏洞的新指南和示例。 ## The Hacker News - [UNC6692 通过 Microsoft Teams 冒充 IT 服务台部署 SNOW 恶意软件](https://thehackernews.com/2026/04/unc6692-impersonates-it-helpdesk-via.html) - 一个此前未记录的威胁集群利用 Microsoft Teams 上的社会工程学部署恶意软件。 - [Bitwarden CLI 在 Checkmarx 持续供应链活动中遭泄露](https://thehackernews.com/2026/04/bitwarden-cli-compromised-in-ongoing.html) - 恶意软件包版本 @bitwarden/cli@2026.4.0 被发布以窃取开发者凭据和机密。 - [Apple 修复了允许 FBI 恢复已删除 Signal 消息的 iOS 漏洞](https://thehackernews.com/2026/04/apple-fixes-ios-flaw-that-let-fbi.html) - Apple 解决了通知服务缺陷 (CVE-2026-28950)，该缺陷会保留标记为删除的通知。 - [中国相关的 GopherWhisper 使用 Go 后门感染了 12 个蒙古政府系统](https://thehackernews.com/2026/04/china-linked-gopherwhisper-infects-12.html) - 一个国家支持的团伙使用基于 Go 的工具包以及 Slack 和 Discord 等合法服务进行命令与控制。 ## BleepingComputer - [黑客利用 Breeze Cache WordPress 插件中的文件上传漏洞](https://www.bleepingcomputer.com/news/security/hackers-exploit-file-upload-bug-in-breeze-cache-wordpress-plugin/) - 攻击者正在主动利用一个严重漏洞，在未经身份验证的情况下上传任意文件。 - [Trigona 勒索软件攻击使用自定义渗透工具窃取数据](https://www.bleepingcomputer.com/news/security/trigona-ransomware-attacks-use-custom-exfiltration-tool-to-steal-data/) - 最近的攻击利用自定义命令行工具更高效地从受损环境中窃取数据。 - [新的 Checkmarx 供应链泄露影响 KICS 分析工具](https://www.bleepingcomputer.com/news/security/new-checkmarx-supply-chain-breach-affects-kics-analysis-tool/) - 受损的 Docker 镜像和 VS Code 扩展被用于收集开发者数据。 - [化妆品巨头 Rituals 披露影响客户的数据泄露事件](https://www.bleepingcomputer.com/news/security/cosmetics-giant-rituals-discloses-data-breach-affecting-customers/) - 攻击者从“My Rituals”数据库中窃取了数量不详的客户个人信息。 - [CISA 命令联邦机构修补被作为零日漏洞利用的 BlueHammer 缺陷](https://www.bleepingcomputer.com/news/security/cisa-orders-feds-to-patch-microsoft-defender-flaw-exploited-in-zero-day-attacks/) - 联邦机构必须修补在零日攻击中被主动利用的 Microsoft Defender 权限提升缺陷。 ## Risky Business - [Risky Bulletin：Sean Plankey 撤回 CISA 提名](https://risky.biz/) - 这位最高网络提名人选在 13 个月的停滞过程后撤回，导致 CISA 没有常任领导人。 - [Risky Business #834：Vercel 被黑，Mozilla 倾倒了数百个 Mythos 漏洞](https://risky.biz/) - 最新一期涵盖了 Vercel 违规事件以及 Mozilla 披露由 AI 发现的大量漏洞。 - [Risky Bulletin：前 FBI 官员呼吁将勒索软件团伙列为恐怖组织](https://risky.biz/) - 呼吁对针对医院和关键基础设施的团伙采取更严厉的法律定性。 ## SecurityWeek - [奢华化妆品巨头 Rituals 披露数据泄露事件](https://www.securityweek.com/luxury-cosmetics-giant-rituals-discloses-data-breach/) - 黑客窃取了包括姓名、地址和电话号码在内的忠诚度计划成员个人信息。 - [最近的 Microsoft Defender 漏洞被作为零日漏洞利用](https://www.securityweek.com/recent-microsoft-defender-vulnerability-exploited-as-zero-day/) - 威胁行为者正在利用“BlueHammer”漏洞获取 Windows 设备上的系统权限。 - [Rilian 为 AI 原生安全编排筹集 1750 万美元](https://www.securityweek.com/rilian-raises-17-5-million-for-ai-native-security-orchestration/) - 网络安全初创公司获得资金以推进其 AI 驱动的安全编排平台。 ## Dark Reading - [中国 APT 滥用多种云工具监视蒙古](https://www.darkreading.com/cyberattacks-data-breaches/chinese-apt-abuses-multiple-cloud-tools-to-spy-on-mongolia) - GopherWhisper 组织利用 Outlook、Slack 和 Discord 进行持续的间谍活动。 - [中国背景的黑客正在使僵尸网络工业化](https://www.darkreading.com/cyber-risk/china-backed-hackers-are-industrializing-botnets) - 新报告详细说明了中国僵尸网络（如“Raptor Train”）用于逃避检测的庞大规模。 - [糟糕的记忆仍然困扰着 AI 代理](https://www.darkreading.com/vulnerabilities-threats/bad-memories-still-haunt-ai-agents) - 研究突出了 AI 代理记忆系统中持续存在的安全风险，这些风险可能被利用于数据窃取。 ## DataBreaches.net - [在 FDA 之外，处于十字路口：大众健康产品的网络安全风险](https://databreaches.net/2026/04/22/outside-fda-inside-the-crosshairs-cybersecurity-risks-for-general-wellness-and-fitness-products/) - 对未纳入 FDA 指导的健身产品的监管空白和安全风险的分析。 - [BlueLeaks 2.0：超过 7,300 所学校、推荐系统被报告](https://databreaches.net/2026/04/22/blueleaks-2-0-7300-schools-referral-systems-reported-and-a-breach-navigate360-still-hasnt-publicly-confirmed/) - 在一个承诺匿名的平台上大量暴露敏感线索和学生数据。 ## Hacker News (YC) - [Bitwarden CLI 在 Checkmarx 持续供应链活动中遭泄露](https://news.ycombinator.com/item?id=47876043) - 关于 Bitwarden CLI 泄露和供应链风险安全影响的讨论。 - [近期 Claude Code 质量报告的更新](https://news.ycombinator.com/item?id=47878905) - 社区对 AI 辅助编码工具安全性和质量的反馈。 ## CIO ET - [Microsoft 打击与 AI 驱动的欺诈相关的网络犯罪服务](https://cio.economictimes.indiatimes.indiatimes.com/news/digital-security) - 针对用于促进大规模 AI 驱动欺诈活动的基础设施采取的行动。 - [安全初创公司 Torq 以 12 亿美元估值筹集资金](https://cio.economictimes.indiatimes.indiatimes.com/news/digital-security) - 安全自动化领域的重大投资反映了对 AI 原生防御工具不断增长的需求。 - [印度证券交易委员会正在开发 AI 驱动的工具以分析实体的网络安全性](https://cio.economictimes.indiatimes.indiatimes.com/news/digital-security) - 印度市场监管机构正在构建工具以主动评估金融机构的网络安全态势。 ## Krebs on Security - [“Scattered Spider”成员“Tylerb”认罪](https://krebsonsecurity.com/2026/04/scattered-spider-member-tylerb-pleads-guilty/) - 这个臭名昭著的黑客组织的一名高级成员承认参与了重大入侵和数百万美元的加密货币盗窃案。 - [补丁星期二，2026年4月版](https://krebsonsecurity.com/2026/04/patch-tuesday-april-2026-edition/) - 微软最新安全更新概述，包括对正在被积极利用的零日漏洞的修复。 ## NIST NVD & CVE Mitre - [CVE-2026-31532](https://nvd.nist.gov/vuln/detail/CVE-2026-31532) - 修复了 Linux 内核 CAN 原始套接字漏洞以防止越界访问。 - [CVE-2026-40470](https://nvd.nist.gov/vuln/detail/CVE-2026-40470) - 影响 Haskell 包分发的 hackage-server 中的严重 XSS 漏洞。 - [CVE-2026-31175](https://nvd.nist.gov/vuln/detail/CVE-2026-31175) - 通过Enable 参数在 ToToLink A3300R 固件中存在的命令执行漏洞。 - [CVE-2026-41460](https://nvd.nist.gov/vuln/detail/CVE-2026-41460) - SocialEngine 7.8.0 中的严重 SQL 注入漏洞，允许任意数据库访问和管理员重置。 - [CVE-2026-3960](https://vulners.com/cve/CVE-2026-3960) - 3.46.0.10 之前版本的 H2O-3 中存在严重的未认证远程代码执行漏洞。 - [CVE-2026-39987](https://www.cisa.gov/news-events/alerts/2026/04/23/cisa-adds-one-known-exploited-vulnerability-catalog) - 因被积极利用，Marimo 漏洞被添加到 CISA KEV 目录中。 - [CVE-2026-6375](https://www.cisa.gov/news-events/ics-advisories/icsa-26-113-04) - SpiceJet 预订 API 缺陷，允许未经认证的 PNR 查询。 - [CVE-2026-3893](https://www.cisa.gov/news-events/ics-advisories/icsa-26-113-02) - Carlson VASCO-B GNSS 接收器身份验证绕过，允许基于网络的修改。 ## PoC-in-GitHub & GitHub Advisories - [GHSA-97j9-4xhc-69qj (CVE-2026-33819)](https://github.com/advisories/GHSA-97j9-4xhc-69qj) - Microsoft Bing 中严重的不可信数据反序列化漏洞。 - [GHSA-6rf6-xrp6-223m](https://github.com/advisories/GHSA-6rf6-xrp6-223m) - 在 XSD 验证文档处理期间的 libxml2 漏洞。 - [GHSA-hjr9-62gj-chhf (CVE-2026-33694)](https://github.com/advisories/GHSA-hjr9-62gj-chhf) - 允许具有 SYSTEM 权限删除任意文件的 Junction 创建缺陷。 - [GHSA-7f25-vhj7-mxrc](https://github.com/advisories/GHSA-7f25-vhj7-mxrc) - 允许 LLM 代理禁用执行批准的 OpenClaw 代理式同意绕过。 - [GHSA-w598-p4vc-7qcx (CVE-2026-26210)](https://github.com/advisories/GHSA-w598-p4vc-7qcx) - 0.5.3 及之前版本中 KTransformers 的不安全处理漏洞。 - [GHSA-9MV3-2CWR-P262 (CVE-2026-40372)](https://github.com/advisories/GHSA-9MV3-2CWR-P262) - DataProtection 中通过伪造的 Cookie 实现的 ASP.NET Core 权限提升。 - [GHSA-6w67-hwm5-92mq (CVE-2026-33626)](https://gbhackers.com/attackers-exploit-lmdeploy-flaw/) - LMDeploy 中正在被野外利用的高危 SSRF 缺陷。 ## GitHub Search: 'CVE-2026' OR 'CVE-2025' - [CVE-2026-04-23 发布](https://github.com/CVEProject/cvelistV5/releases) - 每日更新包含 173 个新 CVE，包括 CVE-2025-10549 和 CVE-2025-13763。 - [CVE-2026-41233](https://www.cve.org/CVERecord?id=CVE-2026-41233) - 通过 GitHub 维护者安全公告发布的新 CVE 记录。 - [CVE-2026-41564](https://www.cve.org/CVERecord?id=CVE-2026-41564) - 由 CPAN 安全组发布的新 CVE 记录。 - [CVE-2026-35351](https://github.com/uutils/coreutils/issues/9714) - uutils coreutils 'mv' 实用程序中的信息泄露。 ## Exploit-DB & Packet Storm Security - [Langflow 远程代码执行 (CVE-2026-27966)](https://packetstormsecurity.com/files/177701/Langflow-Remote-Code-Execution.html) - CSV 代理节点中的 Python REPL 暴露导致完全 RCE。 - [SocialEngine 7.8.0 SQL 注入 (CVE-2026-41460)](https://packetstormsecurity.com/files/177700/SocialEngine-7.8.0-SQL-Injection.html) - 通过 memberall 端点中的 text 参数进行的远程 SQL 注入。 - [libopenapv 0.1.13.0 堆缓冲区溢出 (CVE-2026-0006)](https://packetstormsecurity.com/files/177698/libopenapv-0.1.13.0-Heap-Buffer-Overflow.html) - Android APV 编解码器版本中堆溢出的 PoC。 - [Langflow 1.8.4 遍历 / RCE (CVE-2026-5027)](https://packetstormsecurity.com/files/177695/Langflow-1.8.4-Traversal-Remote-Code-Execution.html) - /api/v2/files 中的路径遍历，允许写入任意文件。 - [Throttlestop 内核驱动程序权限提升](https://www.exploit-db.com/exploits/52512) - 允许在 Windows 上进行本地权限提升的内核越界写入。 - [WordPress Plugin 5.2.0 访问控制失效](https://www.exploit-db.com/exploits/52511) - 允许未经授权访问管理功能的漏洞。 ## GitHub: GhostTroops/TOP - [SmokedMeat](https://github.com/boostsecurity/smokedmeat) - 用于 CI/CD 流水线利用和保护的开源红队框架。 - [CyberStrikeAI](https://github.com/Ed1s0nZ/CyberStrikeAI) - Go 语言编写的原生 AI 安全测试平台，集成了 100 多种安全工具。 - [otto-support](https://github.com/bishopfox/otto-support) - 用于学习 AI 代理安全的易受攻击 MCP CTF 挑战。 ## KitPloit & Toolswatch.org - [KitPloit](https://www.kitploit.com/) - 网站目前正在进行计划内维护。 - [ToolsWatch](https://www.toolswatch.org/) - 主域名无法访问；近期活动通过 GitHub 和社交渠道监控。 ## GitHub Trending (安全主题) & Help Net Security Tools - [2FAS Auth](https://www.helpnetsecurity.com/2026/02/03/product-showcase-2fas-auth-free-open-source-2fa-ios/) - 支持 iOS 和浏览器扩展的开源 2FA 应用程序。 - [Ente Auth](https://www.helpnetsecurity.com/category/industry-news/product-showcase/) - 具有云同步和备份功能的端到端加密 2FA 工具。 - [Proton Authenticator](https://www.helpnetsecurity.com/category/industry-news/product-showcase/) - Proton 团队推出的全新开源身份验证应用。 ## CTFtime.org (活跃/即将开始) & HackTheBox/TryHackMe 动态 - [TRX CTF 2026](https://ctftime.org/event/2345) - 将于 2026 年 4 月 24 日开始的解谜类在线 CTF。 - [UMDCTF 2026](https://ctftime.org/event/2350) - 由马里兰大学举办、4 月 24 日开始的大规模在线比赛。 - [HTB COAE](https://www.hackthebox.com/blog/be-the-human-element-in-ai-hacking-with-htb-coae) - 侧重于人工主导 AI 黑客技术的新认证。 - [HTB Labs 未来计划](https://www.hackthebox.com/blog/dedispawn-for-all-the-future-of-htb-labs) - 关于更流畅黑客体验和内容发布更新的公告。 ## Infosec-Conferences.com & DEFCON/BlackHat 公告 - [CISO Edge 西班牙 2026](https://infosec-conferences.com/event/ciso-edge-espana-2026/) - 在马德里举行的侧重企业网络安全优先级的实体会议。 - [新德里网络安全周](https://infosec-conferences.com/event/cybersecurity-week-new-delhi-2026/) - 面向行业领袖的从印度开始的多城市峰会。 - [API 安全盲点](https://infosec-conferences.com/event/apis-in-an-ai-world/) - 探索数字环境安全中 AI 驱动转型的网络研讨会。 ## LinkedIn/Indeed: 过去 24 小时内发布的“渗透测试员”或“安全分析师”职位 - [初级网络安全分析师 I](https://www.linkedin.com/jobs/view/4218392031/) - Primary Talent Partners 正在寻找位于夏洛特的初级人才。 - [高级安全运营分析师](https://www.indeed.com/viewjob?jk=524d6b02a6bb23cf) - Creative Visions 正在华盛顿特区招聘负责日常安全分析和 SIEM 监控的人员。 - [网络安全工程师](https://www.linkedin.com/jobs/view/4218394056/) - hermeneutic Investments 发布了面向欧盟/美国时区的远程安全工程职位。 - [调查分析师](https://www.indeed.com/viewjob?jk=e93b1497edefc579) - SpaceX 正在加州霍桑招聘担任调查职务的安全分析师。

标签：AI安全, Chat Copilot, CISA项目, CVE, MCP安全, MSSQLHound, SQL Server安全, Vercel数据泄露, Web报告查看器, Windows IKEv2, 协议分析, 图数据分析, 安全资讯聚合, 安全运营, 情报收集, 扫描框架, 数字签名, 数据展示, 智能体安全, 权限提升, 每日安全动态, 漏洞分析, 漏洞研究, 红队, 编程工具, 网络安全, 自动化侦察, 路径探测, 身份攻击路径管理, 远程代码执行, 逆向工具, 防御加固, 隐私保护, 零日漏洞, 非人类身份