Langflow高危远程代码执行漏洞（CVE-2025-3248）

https://mp.weixin.qq.com/s/5PTqiiNl5kwQOGEjIZqyDQ

好消息！我最后一台不是NixOS的电脑崩了！给这台电脑重装NixOS之后就再也不用重新配置系统了

坏消息：我一堆脚本还在上面跑着，包括那个爬代理的...

CVE-2025-3248的POC写好了，这个POC会在目标上留下一点爱意（

https://github.com/PuddinCat/CVE-2025-3248-POC

与其等他们慢慢升级，我决定直接改掉正在运行的langflow，帮他们把有rce的函数删了，不用谢（

from langflow.api.v1 import validate

def dummy_function(*args, **kwargs):
    raise Exception("Nope, this CVE is patched by puddincat07, no thanks")

validate.validate_code = dummy_function

中国在秘密会议上承认黑客行动与台湾政策相关联

据知情人士透露，中国官员在去年12月的一次秘密会议上承认，北京方面是针对美国基础设施大规模网络攻击的幕后黑手，并将此类行动与美国对台湾政策的支持联系起来。这一罕见的表态令美国官员感到震惊。此前，美国官员已注意到“伏特台风”行动对美国计算机网络构成的威胁，并警告其可能用于未来冲突中的破坏性攻击。美国国务院未对会议发表评论，但强调将采取行动应对中国的网络活动。而中国驻美大使馆则指责美国散布“虚假信息”，利用网络安全议题抹黑中国。

来源：华尔街日报

...

漏洞：Foxmail邮件客户端存在跨站脚本攻击漏洞

漏洞编号：CNTA-2025-0007
重要等级：中等
影响范围：< 7.2.25 [Windows]
漏洞类型：跨站脚本

漏洞概述：该漏洞由于 Foxmail 在加载邮件正文中的 HTML 内容时，对危险内容的过滤处理逻辑存在缺陷。攻击者可利用该漏洞构造包含恶意指令代码的电子邮件，受害者在使用Foxmail打开浏览电子邮件时，无需额外点击，恶意指令代码即被用户主机加载并执行。

风险描述：
1. 攻击者以用户身份即可获取权限。
2. 攻击者无需以用户进行额外点击操作，受害者只需使用 Foxmail 打开或预览带有恶意脚本的邮件，恶意代码即可在后台加载并执行。
3. 受害者设备上，无论是否点击链接、加载图像或执行附件文件，只要客户端自动处理或显示邮件内容，即可能被利用

处置建议: Foxmail 官方已发布修复版本，建议用户务必及时更新至最新版本。如无法立刻升级，可先暂停使用受影响的 Foxmail 客户端版本，或临时改用网页版或其他平台的安全邮件客户端，以确保邮件收发的安全性和稳定性。

补充：该漏洞利用方式简单且具备规模化利用的条件，目前已存在关于该漏洞的在野利用行为

参考信息：国家计算机网络应急技术处理协调中心

攻击者继而利用其他漏洞，在未授权的前提下实现对目标主机的木马文件本地写入和控制权限获取。

是我看错了还是理解错了，一个可以提升为RCE的XSS怎么只有中危

在打TGCTF（

有点累了

然后我又回来了，学弟在旁边打瓦，我在打CTF

wordpress那题 拿到密码十分钟，网络加载半小时，到底是谁在扫

web除0解题之外AK，那很满足了

vite还在在发力

/@fs/etc/passwd?.svg?.wasm?init

CVE-2025-31486