漏洞类型
业务逻辑漏洞、IDOR 与越权访问：没有内存安全问题，但能直接看到不该看的数据。
24 条精选近 30 天 23 条共收录 144 条
GitHub 安全公告指出，@modelcontextprotocol/server 2.0.0 至 2.2.0 在多个客户端共用同一无状态传输或同一 McpServer、Server 实例时，仅按 JSON-RPC id 匹配连接，而 SDK 客户端从 0 开始编号请求，导致一个客户端的响应和通知被投递给另一个客户端。
为什么值得看：公告说明了共享传输导致消息串流的成因、受影响版本区间，并强调升级后还需改代码才能避免请求失败。
GitHub 安全公告指出，@angular/router 在 Node.js 上启用 SSR 且 RouterLink 使用 queryParamsHandling: 'merge' 或 'preserve' 时存在 DoS 漏洞，未认证远程攻击者可用并发请求耗尽 Node.js old-space 堆并导致 worker 崩溃。
为什么值得看：通告给出了触发条件、受影响版本区间与修复版本，使用 Angular SSR 的团队可据此判断是否需要升级或加查询串长度限制。
针对法国超市商用制冷系统可编程控制器的攻击已造成设备过热甚至起火和数百万美元损失，攻击者利用了 Danfoss AK-SM、Danfoss AK-SC、Copeland xweb 和 Dixell xweb 控制器中的漏洞。
为什么值得看：复盘法国超市制冷控制器被入侵事件，并给出全球仍有数千台同类设备暴露在互联网的扫描数据。
Exodus Intelligence 分析 msi.dll 暴露的 CMsiConfigurationManager COM 接口中的逻辑漏洞 CVE-2025-27727。
为什么值得看：文章从 msi.dll 的 COM 接口逻辑缺陷讲到完整利用链，展示了如何借文件夹删除原语植入回滚脚本拿到 SYSTEM。