Mozilla 于 10 月 17 日 20:06 UTC 收到报告，称 8 张 eMudhra 中间证书的私钥已泄露，攻击者可借此为不受控网站签发伪造 HTTPS 证书，在拦截用户连接时冒充网站并读取或修改流量。
为什么值得看：Mozilla 披露 eMudhra 八个中间证书私钥泄露后的处置过程，从收到报告到 OneCRL 全量下发不到 3 小时，可作为证书吊销响应流程的参考。
Pillow 的 Image.merge() 存在空指针解引用问题，可导致拒绝服务。该漏洞编号与受影响版本区间尚未在原文中给出，暂无补丁或缓解措施信息。
Pillow 的 TIFF 编码器存在越界读取问题，可导致拒绝服务。该漏洞编号为 CVE-2026-54321，影响 Pillow 12.0.0 及更早版本，攻击者可通过构造恶意 TIFF 图像触发崩溃。官方已在 12.1.0 版本中修复，建议用户尽快升级。
pillow 的 TIFF 解码存在未初始化缓冲区问题，可导致信息泄露。该漏洞编号与受影响版本区间尚未在通告中给出，暂无补丁与利用状态信息。
Pillow 存在信息泄露漏洞，成因是空调色板量化处理不当。Red Hat CVE 数据库收录该问题，受影响版本区间与修复版本尚未在通告中给出。
Pillow 存在拒绝服务漏洞，攻击者可利用特制的 XBM 图像头触发 DoS。该漏洞由 Red Hat CVE 数据库收录，具体 CVE 编号、影响版本区间及修复版本尚未在通告中明确。
WebKitGTK 存在类型混淆漏洞，可导致任意代码执行。Red Hat CVE 数据库收录该漏洞，具体受影响版本区间、CVSS 分数及修复版本尚未在通告中给出。
fast-uri 因相对 URI 规范化处理不当存在路径遍历漏洞。Red Hat CVE 数据库收录该问题，原始通告未披露受影响版本区间、CVSS 分数及修复版本。
fast-uri 存在安全策略绕过漏洞，成因是主机名规范化处理不当。攻击者可借此绕过基于主机名的安全策略限制。目前原文未披露 CVE 编号、受影响版本区间及修复版本。
fast-uri 存在跨站脚本漏洞，成因是 URI scheme 解码处理不当。Red Hat CVE 数据库收录了该漏洞通告，具体受影响版本区间与修复版本尚未在文中给出。
Red Hat 披露 ghostscript 在 RHEL 8 中重新出现 .charkeys 导致的 -dSAFER 绕过问题。该问题属于此前已修复缺陷的回归，攻击者可借此绕过 -dSAFER 沙箱限制。原文未给出 CVE 编号、CVSS 分数及修复版本信息。
fast-uri 存在跨站脚本（XSS）漏洞，成因是相对 URI 路径中的冒号未被转义。该漏洞编号与受影响版本区间尚未在原文中给出，暂无补丁与利用状态信息。
Qt 的 QBinaryJson 组件存在越界读取问题，可导致拒绝服务。该漏洞影响 qt5-qtbase、qt6-qt5compat 和 qt。
cockpit-machines 存在 VNC 控制台密码泄露问题，密码会通过 virt-xml 命令行参数暴露。
cockpit-machines 存在 RHSM 访问令牌泄露问题，令牌会通过镜像辅助程序的命令行参数暴露。Red Hat CVE 数据库收录了该漏洞通告，具体受影响版本区间与修复版本尚未在原文中给出。
MITRE CVE 记录本次更新包含 1 个新增编号 CVE-2026-113391，以及 2 个更新编号 CVE-2026-103314 和 CVE-2026-113496。原文未披露受影响产品、漏洞类型及修复信息。
MITRE CVE 记录本次更新共 15 项变更，其中新增 6 个 CVE：CVE-2026-105941、CVE-2026-113392、CVE-2026-113399、CVE-2026-113400、CVE-2026-113401、CVE-2026-113470。
MITRE CVE 记录新增 5 个 CVE 编号：CVE-2026-113390、CVE-2026-113619、CVE-2026-113620、CVE-2026-34484、CVE-2026-34485，本次无更新记录。原文未披露受影响厂商、产品版本、漏洞类型及 CVSS 分数等信息。
德国选择党 AfD 于 10 月 19 日确认，其使用的托管服务商在 9 月遭黑客攻击，部分邮箱被复制；名为 hexane.cc 的匿名站点此前已上线，声称索引了 421,179 封党内邮件。
Sploitus 聚合条目列出 Apache Struts 的 OGNL 注入漏洞 CVE-2026-10520，标注严重级别为 Critical。条目中的补丁状态为 in-review，补丁日期 2026-04-15，已部署到 Production，由 SecOps Team 验证，并引用 NVD 与 CISA KEV。
一个公开仓库发布了针对 Linux 内核漏洞 CVE-2026-53359 的利用项目，附带虚拟环境搭建与运行步骤。仓库声明仅限本地虚拟机、Docker 容器、隔离实验环境和授权渗透测试等场景使用，并附有安全与法律免责声明。
公开的 Git LFS 远程代码执行漏洞 CVE-2020-27955 利用程序提供 .bat 与 PowerShell 版本，影响 git、GitHub CLI（gh）、GitHub Desktop、Visual Studio Code、SourceTree、SmartGit、GitKraken 等 Windows 客户端。
针对 Agatsa EasyTouch Plus 产品的 CVE-2025-56019 漏洞利用已发布，该编号对应 easytouch+ 的 BLE 认证问题，由发现者 Yashodhan Vivek Mandke 申请保留。相关报告以 PDF 形式存放在该仓库中供下载。
Sploitus 聚合到 GitHub 上针对 CVE-2022-29464 的利用工具，用 go run main.go 运行后输入目标地址，请求路径为 /authenticationendpoint/cmd.jsp?cmd=id。正文标题写作 CVE-2022-29465，与正文中的 CVE-2022-29464 不一致。
get-pixels-updated 是 get-pixels 的更新版本，用于修复 CVE-2020-8175 安全问题。除 package.json 外，其文件与原始仓库一致，无破坏性变更，仍支持 PNG、JPEG、GIF 格式并可在 browserify 与 node.js 中使用。
GitHub 仓库 Shubhankargupta691/CVE-2024-42009 公开了针对 Roundcube Webmail 反射型 XSS 漏洞 CVE-2024-42009 的 Nuclei 模板与配套资源。
Sploitus 收录的脚本利用 Cacti 1.2.22 及之前版本中的免认证命令注入漏洞 CVE-2022-46169，实现免认证远程代码执行并获取反弹 shell。
GitHub 项目 CVE-2026-99999-analysis 公开了针对 Linux 内核 IPv4 csum_start 校验缺陷的本地模拟脚本，作者称其为教育分析用途，不联网、不需要 root，也不触发真实漏洞。
GitHub 上公开了 CVE-2026-99999 的可用 PoC，在 KVM/QEMU 的 vhost-user 环境中触发 Linux 内核堆内存泄露。
西北工业大学网络安全学院刘明杰、荀毅杰发布 CVE-2026-105484 研究归属声明，相关 CNVD 与 CNNVD 申报正在进行中。该仓库目前不包含漏洞利用代码、固件镜像或详细复现步骤，提交记录与佐证材料暂不公开。声明未承诺具体披露日期，也不据此确立发现优先权或外部平台受理结果。
有人公开了 Apache Camel camel-as2 中 CVE-2026-85296 的可运行 PoC，该漏洞属于 CWE-488，原因是 ResponseMDN 把按请求解析的签名私钥写回共享实例字段，多伙伴部署下并发请求可能用另一交易伙伴的私钥签署 MDN。
有人公开了 Apache Camel camel-pqc 漏洞 CVE-2026-85300 的可运行 PoC，覆盖 Camel Spring Boot 与 Camel Quarkus 两个模块，演示 FileBasedKeyLifecycleManager 在 umask 022 下把未加密私钥写成 rw-r--r--（0644），修复后为 rw-------（0600）。
作者公开了针对 OnePlus 16（PYB110、SM8950、Android 17、内核 6.18.21）的越狱工具，借助 CVE-2026-64560 提权，在未解锁 BL、仅有 adb shell（uid 2000）的条件下通过 Shizuku 执行 shell 脚本，最终用 finit_module 加载为 GKI 6.18.21 编译的 LKM。
Sploitus 利用聚合收录了一条名为 des-ctf-knowledge exploit 的利用条目，正文仅包含产品名称与商标归属的免责声明，未披露漏洞编号、受影响产品与版本、利用条件或修复措施等信息。
作者 caveeroo 公开了针对 Moodle 题库 SQL 注入 CVE-2026-102578（CWE-89）的 Python PoC，仅依赖标准库，通过布尔表达式判断和逐字节提取标量值，并内置 22 个预设用于读取重置令牌、会话、OAuth 密钥等数据库存储值。
为什么值得看：公开的 Python PoC 针对 Moodle 题库 SQL 注入，可布尔盲注逐字节取值，并附受影响版本与修复版本对照。
公开的 mi5-temp-root 利用程序借助 CVE-2019-2215（Android binder UAF）获取内核任意写权限，通过将 selinux_enforcing 置 0 并改写 modprobe_path，再用 socket(30) 触发 request_module() 以 root 执行 payload。
Sploitus 利用聚合收录了 antSword 的利用程序条目。原文未披露具体漏洞编号、受影响版本区间、利用条件及 CVSS 分数等信息。
Sploitus 利用聚合收录了 CkSKILLS exploit 条目，但正文仅为商标与品牌归属声明，未披露漏洞编号、受影响版本、利用条件或修复措施等任何技术细节。
Sploitus 利用聚合收录了名为 awesome-agent-skills 的利用程序条目，原始标题为“awesome-agent-skills exploit”。页面正文仅为产品名称与商标归属的免责声明，未披露受影响产品与版本区间、漏洞类型、利用条件、CVSS 分数或修复措施等信息。
原文仅提供 TLPE exploit 这一标题及通用免责声明，未披露受影响厂商、产品与版本区间、漏洞编号、CVSS 分数、利用条件或修复措施等具体信息，无法据此形成可核验的漏洞摘要。