OVSwrap本地提权漏洞(CVE-2026-64531)影响Linux内核OpenvSwitch组件，允许无特权用户获取root权限。漏洞源于2025年3月代码改动移除动作流大小上限，导致长度值回绕。攻击者需在命名空间内拥有CAP_NET_ADMIN权限，默认配置下多个发行版受影响。已有公开PoC代码，但无在野利用。建议立即安装补丁或卸载模块、禁用无特权命名空间作为缓解措施。

本文分享APP渗透实战，作者逆向脱壳提取APP内部隐藏URL，发现Tomcat服务器并利用Shiro默认密钥RCE。重点记录了在特殊环境下通过分段Fuzz排查Base64解码失败原因，成功绕过字符限制写入Webshell的踩坑经验，建议正面受阻时从APP内部信息找突破口。文末含大量付费广告。

该论文系统性地揭示了小程序生态中基于OAuth的认证机制(OBA)存在的安全滥用问题。研究团队提出了业界首个动态分析框架MiniAuth，对微信和百度两大平台近4.7万个小程序进行实测，发现超过1800处认证滥用，涉及1600多个小程序。论文将滥用归纳为三类模式：凭证交换泄露、身份断言滥用和通道请求滥用。研究还披露了一个百度平台级的密码学设计缺陷。该工作获得了11个CNVD/CNNVD漏洞编号确认，为小程序安全领域提供了重要的系统性分析和可操作建议。

勒索软件已演变为高度分工的产业链，涵盖初始访问经纪人、漏洞利用组织、僵尸网络运营者、勒索团伙、数据交易市场和洗钱组织六大角色。文章基于Chainalysis等报告估算2025年全球赎金超15亿美元，重点剖析了初始访问经纪人的商业模式及VPN漏洞利用、RDP爆破、凭证填充等攻击方法，建议企业加强边界防护与凭证管理。