中国在秘密会议上承认黑客行动与台湾政策相关联

据知情人士透露，中国官员在去年12月的一次秘密会议上承认，北京方面是针对美国基础设施大规模网络攻击的幕后黑手，并将此类行动与美国对台湾政策的支持联系起来。这一罕见的表态令美国官员感到震惊。此前，美国官员已注意到“伏特台风”行动对美国计算机网络构成的威胁，并警告其可能用于未来冲突中的破坏性攻击。美国国务院未对会议发表评论，但强调将采取行动应对中国的网络活动。而中国驻美大使馆则指责美国散布“虚假信息”，利用网络安全议题抹黑中国。

来源：华尔街日报

...

漏洞：Foxmail邮件客户端存在跨站脚本攻击漏洞

漏洞编号：CNTA-2025-0007
重要等级：中等
影响范围：< 7.2.25 [Windows]
漏洞类型：跨站脚本

漏洞概述：该漏洞由于 Foxmail 在加载邮件正文中的 HTML 内容时，对危险内容的过滤处理逻辑存在缺陷。攻击者可利用该漏洞构造包含恶意指令代码的电子邮件，受害者在使用Foxmail打开浏览电子邮件时，无需额外点击，恶意指令代码即被用户主机加载并执行。

风险描述：
1. 攻击者以用户身份即可获取权限。
2. 攻击者无需以用户进行额外点击操作，受害者只需使用 Foxmail 打开或预览带有恶意脚本的邮件，恶意代码即可在后台加载并执行。
3. 受害者设备上，无论是否点击链接、加载图像或执行附件文件，只要客户端自动处理或显示邮件内容，即可能被利用

处置建议: Foxmail 官方已发布修复版本，建议用户务必及时更新至最新版本。如无法立刻升级，可先暂停使用受影响的 Foxmail 客户端版本，或临时改用网页版或其他平台的安全邮件客户端，以确保邮件收发的安全性和稳定性。

补充：该漏洞利用方式简单且具备规模化利用的条件，目前已存在关于该漏洞的在野利用行为

参考信息：国家计算机网络应急技术处理协调中心

攻击者继而利用其他漏洞，在未授权的前提下实现对目标主机的木马文件本地写入和控制权限获取。

是我看错了还是理解错了，一个可以提升为RCE的XSS怎么只有中危

在打TGCTF（

有点累了

然后我又回来了，学弟在旁边打瓦，我在打CTF

wordpress那题 拿到密码十分钟，网络加载半小时，到底是谁在扫

web除0解题之外AK，那很满足了

vite还在在发力

/@fs/etc/passwd?.svg?.wasm?init

CVE-2025-31486

vite还在在在发力

/@fs/app#/../proc/self/environ

CVE-2025-32395

需要猜vite项目所在地址，可以从403的返回界面看到（

#security
宇树Go1机器狗固件里默认安装了隧道服务，同时没有做出恰当的限制导致有API Key（在固件里）就可以访问狗，同时SSH服务默认打开并且是弱密码。

编者评论：如果是故意的，那我无话可说；如果不是故意的，那我只能说宇树开发团队毫无安全意识，这方面的水平真的堪忧。
https://cyberinsider.com/remote-access-backdoor-discovered-in-chinese-robot-dog-unitree-go1/

GitHub目前已屏蔽中国大陆访问

有登录状态的可以正常访问，其他情况返回403。

Itdog

📮投稿 ☘️频道 🌸聊天

github 403未登陆中国大陆IP用户

大概是主动屏蔽？

切了https重新测，这下全都是403了

GitHub目前已恢复中国大陆访问

更新：Github称无法在中国大陆访问是由于意外

Due to a configuration change with unintended impact, users that were not logged in who tried to visit GitHub.com from China were temporarily unable to access the site. For users already logged in, they could continue to access the site successfully. Impact started 2025/04/12 at 20:01 UTC. Impact was mitigated 2025/04/13 at 14:55 UTC.

The configuration changes that caused this impact have been reversed and users should no longer see problems when trying to access GitHub.com.

Itdog
GitHub Status

📮投稿 ☘️频道 🌸聊天