跳到正文
10月21日周三
  4. Sploitus 利用聚合7

    CVE-2026-21509 漏洞利用

    聚合站点出现 CVE-2026-21509 的漏洞利用条目，但正文仅为产品名称与商标归属声明，未披露受影响厂商、产品与版本区间、漏洞类型、利用条件及 CVSS 分数，也未说明是否已有公开 PoC 或遭在野利用。

  5. Sploitus 利用聚合78

    公开 CVE-2026-108097 全链利用工具，针对 Drupal core Field UI 的 RCE

    有人公开了 Python3 工具 CVE-2026-108097 Full-Chain Exploiter，用于实现 Drupal core Field UI #region_callback RCE（SA-CORE-2026-014）的利用逻辑。

    为什么值得看：公开的 Python3 工具把 Drupal Field UI 回调漏洞拆成多阶段流水线，并给出 FOFA 定位语法，便于在授权环境中复现整条利用链。

  8. Sploitus 利用聚合56

    0x.ans 发布 CVE-2024-24919 扫描器

    作者 0x.ans 公开了用 Python 编写的 CVE-2024-24919 Scanner，用于在 Web 应用中查找潜在的 CVE-2024-24919 漏洞。工具支持 -x 指定单个目标域名，或用 -w 读取包含 URL 的字典文件批量扫描，用法为 python3 scanner.py [-x TARGET] [-w WORDLIST]。

  10. Sploitus 利用聚合88

    eMudhra 中间 CA 密钥生成缺陷 PoC 从公开证书恢复 8 个私钥

    研究者公开 eMudhra CA 密钥泄露 PoC，仅凭公开证书数据即可恢复 8 个 eMudhra/emSign 中间 CA 的 P-384 私钥，对应标量 4、56、66、115、155、156、230、237，目前关联 CVE-2026-111943。

    为什么值得看：PoC 仅凭公开证书数据就恢复出 8 个中间 CA 私钥，展示了密钥生成失败如何直接摧毁证书信任链。

  15. GitHub 安全公告库 (GHSA)40

    AIOHTTP 绝对形式请求可伪造 Request.scheme

    AIOHTTP 存在缺陷：攻击者发送绝对形式（absolute-form）请求即可伪造 Request.scheme 的取值。若用户代码将 Request.scheme 用于安全相关判断，可能被绕过，使应用误判连接是否加密。规避方案是用 WAF 规则拒绝绝对形式请求，正常请求仅在代理场景下才应使用该形式。

  16. GitHub 安全公告库 (GHSA)60

    MCP TypeScript SDK 修复单请求耗尽服务器内存问题 GHSA-46jr-4wx8-v453

    GitHub 安全公告指出，@modelcontextprotocol/sdk 1.3.0 至 1.31.0 与 @modelcontextprotocol/server 2.0.0 至 2.2.0 未限制单次请求校验的数组元素与对象键数量。

    为什么值得看：公告给出了受影响版本区间与修复版本，并说明仅升级不生效，需同时配置两个参数才能缓解。

  17. GitHub 安全公告库 (GHSA)58

    MCP TypeScript server SDK 修复共享传输导致跨客户端消息串流问题

    GitHub 安全公告指出，@modelcontextprotocol/server 2.0.0 至 2.2.0 在多个客户端共用同一无状态传输或同一 McpServer、Server 实例时，仅按 JSON-RPC id 匹配连接，而 SDK 客户端从 0 开始编号请求，导致一个客户端的响应和通知被投递给另一个客户端。

    为什么值得看：公告说明了共享传输导致消息串流的成因、受影响版本区间，并强调升级后还需改代码才能避免请求失败。

  21. GitHub 安全公告库 (GHSA)71

    certifi 2026.10.18 之前版本内置私钥泄露的 emSign 中间 CA 根证书

    GitHub 安全公告指出，2026.10.18 之前的 certifi 版本在内置 CA 库中包含 `emSign ECC Root CA - G3` 根证书，链到该根证书的 8 张 eMudhra 中间 CA 证书私钥已泄露并被 CA 吊销。

    为什么值得看：公告说明 certifi 内置的 emSign 根证书链上存在私钥泄露的中间 CA，并给出受影响版本与升级版本，便于排查依赖链。

  22. GitHub 安全公告库 (GHSA)60

    uv 0.13.4 移除内置 CA 包中私钥已泄露的 emSign 根证书

    uv 默认使用内置的 webpki-root-certs 证书包校验 TLS 连接，0.13.4 之前的版本包含 emSign ECC Root CA - G3 根证书，而链接到该根证书的 8 张 eMudhra 中间 CA 证书私钥已泄露并被 CA 吊销。

    为什么值得看：公告说明 uv 内置根证书包中受影响的根证书与修复版本，使用默认 TLS 校验的开发者可据此判断是否需要升级。

  23. GitHub 安全公告库 (GHSA)60

    MCP TypeScript SDK 修复 bearer 认证接受其他服务令牌的问题

    MCP TypeScript SDK 受影响版本的服务器端 bearer 认证无法校验令牌是否签发给本服务，当同一授权服务器为多个服务签发令牌时，其他服务的有效令牌也会被接受。

    为什么值得看：公告说明了受影响版本区间与修复版本，并指出仅升级不生效，需同时配置 expectedResource 与返回 aud 才能挡住其他服务的令牌。

  32. Security Affairs42

    Nikkei 披露数据泄露事件，逾 180 万条记录受影响

    日本媒体公司 Nikkei 披露一起数据泄露事件，逾 180 万条记录受影响。攻击者于 10 月 7 日使用此前窃取的凭据访问其用于系统开发的云服务，约 15 万条记录含姓名、邮箱、地址、电话或出生日期等信息，其中约 12 万条含邮箱地址，泄露信息不含信用卡数据。Nikkei 已于 10 月 11 日向日本个人信息保护委员会报告，并封禁被盗凭据。

  34. MITRE CVE 记录 (cvelistV5)8

    MITRE CVE 列表更新 598 项：新增 CVE-2026-111088，更新 597 个 CVE

    MITRE CVE 列表本次共记录 598 项变更，其中新增 1 个 CVE-2026-111088，另有 597 个 CVE 被更新，包括 CVE-2024-4457、CVE-2026-100200 至 CVE-2026-102869 等多个编号。原文未披露这些条目的漏洞类型、受影响产品与版本、CVSS 分数及利用状态。

  37. GitHub 安全公告库 (GHSA)58

    ApostropheCMS uploadfs Azure 后端将 SAS 令牌泄露到公开附件 URL，附 PoC

    ApostropheCMS 的 uploadfs 在 Azure 后端并启用 sas: true 时，createContainer() 用内嵌完整 SAS 查询串的 URL 构造 BlobServiceClient，getUrl() 返回的 baseUrl 因此带有 ?

    为什么值得看：披露了 uploadfs Azure 后端把容器级 SAS 令牌拼进公开附件 URL 的成因，并附离线 PoC 复现该行为。

  39. GitHub 安全公告库 (GHSA)60

    ApostropheCMS 的 uploadfs 本地存储存在路径穿越，可任意读写删文件

    GitHub 安全公告 GHSA-gmfx-5g6x-rr72 指出，ApostropheCMS 的 uploadfs 库本地存储后端不校验用户传入路径，prefixPath() 只去掉双斜杠，后端直接拼接 uploadsPath + path，攻击者可用 ../ 逃逸上传目录，实现任意文件读取、写入和删除。

    为什么值得看：公告给出 uploadfs 本地存储路径拼接缺陷的成因与可复现请求，并附修复校验思路，便于自查上传接口。