已发布刊物 · 免费预览
安全每日早报 2026-11-13｜Rails 发布 7 项安全公告
发布： 摘要更新：
GitHub 发布了 7 项影响 Rails 框架的安全公告。报告的问题包括：Active Storage 可能存在图像分析中的任意文件读写漏洞；Action Pack 可能存在 Action Controller 直播流中的拒绝服务（DoS）漏洞；Action View 可能存在 highlight helper 中的跨站脚本（XSS）漏洞。
本期内容预览
1. Rails 发布 7 项安全公告
GitHub 发布了 7 项影响 Rails 框架的安全公告。报告的问题包括：Active Storage 可能存在图像分析中的任意文件读写漏洞；Action Pack 可能存在 Action Controller 直播流中的拒绝服务（DoS）漏洞；Action View 可能存在 highlight helper 中的跨站脚本（XSS）漏洞。
- Action View: Possible XSS vulnerability in tag helpers ↗
- Active Storage: Possible arbitrary file write and read in image analysis ↗
- Action Pack: Possible DoS vulnerability in Action Controller Live streaming ↗
- Action View: Possible XSS vulnerability in highlight helper ↗
- Action View: Possible XSS vulnerability in strip_tags ↗
- Action View: Possible XSS vulnerability in text helpers ↗
- Action Pack: Possible Strong Parameters Bypass in Parameters#each_key ↗
2. CVE-2026-12507、Zohocorp、ManageEngine、AssetExplorer 版本低于 7860，ServiceDesk Plus 版本低于 15290，ServiceDesk Plus、MSP 版本低于 15150，以及 SupportCenter Plus 版本
CVE-2026-12507、Zohocorp、ManageEngine、AssetExplorer 版本低于 7860，ServiceDesk Plus 版本低于 15290，ServiceDesk Plus、MSP 版本低于 15150，以及 SupportCenter Plus 版本
3. CVE-2026-12591：Zoho Corp ManageEngine M365 Manager Plus
CVE-2026-12591：Zoho Corp ManageEngine M365 Manager Plus 4818 之前的版本存在漏洞。已通过身份验证的技术人员可利用该产品在委托（delegate）功能中权限验证不足的问题进行攻击。
4. 受训后背叛：后训练供应链攻击如何劫持编码代理 | Microsoft Security Blog
来自 Microsoft Defender Research 和 Microsoft AI Red Team 的两项关于后训练供应链的研究揭示了原因。
5. VU#580079 - 基于 ImageMagick 的默认配置应用程序中存在 read/write 任意文件漏洞
研究人员发现，在使用 ImageMagick 且安全策略限制不足的应用程序中，存在多个任意文件读写漏洞。该系列问题被统称为 ImageTragick2，当 ImageMagick 处理攻击者控制的 SVG 或 PostScript 内容，并调用其默认配置或应用程序提供的危险编码器或委托时，便会触发。
6. VU#644655 - TightVNC 和 UltraVNC Viewer 存在基于堆的缓冲区溢出漏洞
TightVNC Windows Viewer 1.3.10 版本及其受影响的 UltraVNC Windows Viewer 版本中，其 Tight JPEG 解码组件存在基于堆的缓冲区溢出漏洞。攻击者若能控制一个恶意的 VNC 服务器，便可通过发送精心构造的屏幕更新数据，引发内存损坏。
7. wfx-loot 行动将 CI 秘密窃取工具推至数万个仓库
自 11 月 10 日起，一名威胁行为者利用被盗的 GitHub 凭据，将恶意工作流载荷推入数万个仓库。该载荷窃取 GitHub Actions 秘密及云凭据。
8. GPU 利用率仅为 0%：SANSAR 如何隐藏 Linux 加密货币挖矿
Elastic Security Labs 分析了 SANSAR，这是一款通过 Tor 管理矿机的 Linux 加密货币挖矿编排器，其伴随内核根kit、GPU 监控钩子以及一个从 Ethereum 获取其 C2 地址的后门。
9. 警方捣毁 Gootloader、CastleRAT、StealC 恶意软件基础设施
欧洲刑警组织与来自九个国家的执法合作伙伴共同查获了数百台服务器和域名，这些设施被 Gootloader、CastleRAT 和 StealC 恶意软件团伙用于非法活动。
10. 软件义警修复受损印度证书，阻断 TV 广告
尽管 eMudhra 的私钥泄露构成重大安全灾难，但也为通过技术手段阻断智能电视上令人厌烦的广告提供了可能性。
11. 黑客利用微软 SQL 服务器部署 Monero 矿机及 Gh0st RAT
SEO：Fortinet 发现了一场活动，攻击者暴力破解暴露的微软 SQL 服务器安装，并利用 T-SQL 命令在 Windows 系统上部署 Monero 矿机及 Gh0st RAT。
12. 检查您的 GitHub 仓库：一个秘密窃取程序已感染数万个仓库 - 帮助网络安全
一名威胁行为者自 11 月 10 日起，利用被盗的 GitHub 凭据将窃取凭据的载荷推送到数万个仓库。在超过 1,800 个仓库中，该恶意软件运行并将 GitHub Actions 秘密和云凭据发送给攻击者。
13. 攻击者利用 4,837 个被盗 GitHub 账户在 1,806+ 个仓库中运行 CI 密钥窃取工具
据网络安全公司 Aikido Security 披露，自周二起，一名攻击者利用被盗的 4,837 个 GitHub 账户凭证，在其账户可写入的仓库中植入密钥窃取工具。
14. 日历邀请与实时代理：揭秘一起针对企业用户的 Google 会话劫持活动
自 2026 年 8 月中旬以来，一次钓鱼活动一直在窃取企业用户的实时 Google 会话。防御者通常依赖的链接验证手段均显示正常，而攻击者正是故意设计了这一点。
已展示本期 20 条中的 14 条。注册并开通相应订阅后，可在阅读页查看完整刊物。