Next.js 发布安全更新 v16.3.8 和 v15.5.27，修复多个漏洞：图像优化中的服务端请求伪造（高危）、自托管 SSG/ISR 页面缓存投毒、根级 catch-all 页面缓存投毒、App Router 元数据图像路由信息泄露、嵌套 use cache 缓存键错误导致跨根参数泄露、Draft Mode 内容经 use cache 泄露至普通响应，以及开发服务器 MCP 端点信息泄露。建议尽快升级。

泛微ecology OA系统存在数据库配置信息泄露漏洞，影响多个版本。通过源码分析，发现默认密钥为1z2x3c4v5b6n，利用DES算法可解密密文。在复现过程中遇到困难，最终在他人帮助下成功完成，需加强对加密算法的理解。

Django团队发布了6.0.7和5.2.16版本，修复了多个安全问题，包括缓存响应时对设置Cookie的保护不足、GDALRaster可能导致的信息泄露，以及DomainNameValidator接受域名中的换行符。用户应尽快升级以确保安全。

黑客利用聊天机器人的个性进行攻击，最初通过引导机器人忽视安全指令获取敏感信息。随着技术进步，黑客开始运用心理战术操控对话，诱使聊天机器人泄露禁止内容。未来，心理学和社交技巧将成为AI安全领域的重要技能。

Bitwarden 的命令行工具 @bitwarden/cli@2026.4.0 版本遭到攻击，恶意代码被植入，可能导致用户敏感信息泄露，如 GitHub token 和 SSH 私钥。官方确认用户的 Vault 密码库未受影响。

本文探讨了模型内部信息的探测及其潜在的信息泄露风险。通过对视觉语言模型的研究，比较了不同表示层级的信息保留情况，发现顶级logit值可能泄露与任务无关的信息。此外，文章讨论了静态残差变换在自回归生成中的效率与生成质量之间的权衡。

Messenger的高级浏览保护（ABP）通过分析聊天链接来保护用户隐私，并警告潜在的恶意链接。该系统利用更新的恶意网站列表和加密技术，确保用户在端到端加密消息中的安全浏览，同时通过优化查询过程和保密计算技术，减少信息泄露，提升隐私保护。

我们利用GitHub安全实验室的任务流代理，成功发现80多个开源项目中的高影响力安全漏洞，主要涉及授权绕过和信息泄露。新任务流提高了结果验证和报告发布的效率，并开源了框架，鼓励更多团队参与漏洞消除。

最近的扫描发现一个开放的矢量数据库，包含铀矿开采的内部文件，且缺乏认证和访问控制。此外，许多工业控制系统设备暴露，AI基础设施安全措施不足，导致敏感信息泄露。

最近的扫描发现一个开放的矢量数据库，包含铀矿开采的内部文件，且缺乏身份验证和访问控制。此外，许多工业控制系统设备暴露，AI基础设施安全措施不足，导致敏感信息泄露。

Moltbot是一款开源AI工具，能够通过WhatsApp等平台执行任务，如管理日程和发送邮件。尽管功能强大，但若赋予其管理员权限，可能会导致安全风险。安全专家提醒用户需谨慎使用，以防信息泄露和攻击。

Telegram新增通行密钥通知功能，用户可实时获知密钥的新增或删除，提升账号安全性。用户应定期检查活动会话，删除不活跃会话以防信息泄露。

英国就业法庭拒绝了被解雇的Rockstar Games员工请求临时支付的申请。这些员工因涉嫌泄露公司信息而被解雇，工会指控Rockstar进行“工会打压”。尽管未获临时救济，工会对后续听证会充满信心，认为Rockstar的行为不公且违法，而Rockstar则坚称解雇决定是必要的。

Instagram已修复导致大量密码重置邮件发送的问题，声明系统未遭入侵。然而，Malwarebytes报告称，1750万个Instagram账户的信息已在暗网泄露，包括用户名和联系方式。