Анализ уязвимостей

CVE-2025-34291 是在 Langflow AI 代理与工作流平台中发现的一个严重漏洞链，安全评分达到 CVSS v4.0: 9.4。该漏洞允许攻击者通过诱导用户访问恶意网页，实现对 Langflow 实例的完全账户接管和远程代码执行（RCE）。

CVE-2025-55182漏洞受影响版本中React 19引入，Next.js App Router 将来自客户端的 RSC 序列化数据直接交由 ReactFlightReplyServer 反序列化，未对模型结构、引用路径与 Server Reference 元数据进行充分校验。攻击者可构造恶意 RSC请求，引导 parseModelString、getOutlinedModel、loadServerReference、initializeModelChunk 等解析链路进入异常状态，在模块加载与引用绑定阶段控制调用目标，最终在 Next.js 中可触发任意服务端代码执行。

В этой статье представлен анализ уязвимостей стороннего SDK для мобильных приложений, проведенный исследователями безопасности Ли Бо и Чжан Синь из 360 Vulpecker Team. Команда 360 Vulpecker специализируется на атаках и защите безопасности систем и приложений Android, а также имеет собственную разработанную автоматизированную систему для аудита безопасности приложений Android. Эта статья начинается с статуса безопасности сторонних SDK, обсуждает риски безопасности, связанные с интеграцией SDK, и подробно описывает риски уязвимостей и методы атак различных SDK. На примерах анализируются методы эксплуатации уязвимостей push SDK и Share SDK, а также указывается масштаб воздействия соответствующих уязвимостей на приложения. Наконец, выдвигаются некоторые мысли, призванные привлечь внимание читателей и глубже задуматься о безопасности мобильных приложений.

Уязвимость раскрытия информации о методе ввода Google Android 14 из-за утечки информации по побочным каналам позволяет определить, установлено ли приложение, без запроса разрешений. Это может привести к раскрытию локальной информации без необходимости дополнительных разрешений на выполнение. Эксплуатация этой уязвимости не требует взаимодействия с пользователем.

24 ноября 2021 года группа безопасности Alibaba Cloud сообщила официальным лицам Apache об уязвимости удаленного выполнения кода Apache Log4j2. 01 Описание уязвимости Apache Log4j2 — отличная среда ведения журналов Java. …