标签
#Security
Ostorlab 对比 Appknox：澄清事实
Ostorlab 回应 Appknox 的“十大 MAST 工具”榜单：它错在哪里、KnoxIQ 对比 Agentic Deep Scan、全栈覆盖、部署与定价。
2026年7月29日
XBOW 对比 Ostorlab：AI 渗透测试全面比较
从目标范围界定、移动与 API 覆盖、跨资产漏洞利用链、CI/CD 测试、证据以及修复工作流等方面对 XBOW 与 Ostorlab 进行比较。
2026年7月28日
AI 如何发现复杂漏洞：深入解析智能体式渗透测试与漏洞利用链
了解智能体式 AI 如何发现基于规则的扫描器遗漏的业务逻辑漏洞，并通过一条真实的漏洞利用链，看一个已修复的发现如何升级为整个租户的沦陷。
2026年7月28日
Ostorlab 与 NowSecure：移动应用安全对比
从六个方面对比 Ostorlab 与 NowSecure：成本与规模、CI/CD 集成、业务逻辑覆盖、框架支持、定向扫描以及地域限制应用。
2026年7月27日
更多 #Security 标签文章
Ostorlab Threat Center 现已支持欧盟漏洞数据库
Ostorlab Threat Center 现在将 EUVD 情报与 NVD 数据整合在一起，在安全团队为欧盟《网络韧性法案》做准备之际，为其提供更广泛的漏洞可见性。
2026年7月24日
源代码安全：从信号到经过验证的风险 | Ostorlab
了解源代码安全测试的工作原理、为什么传统 SAST 会产生误报，以及智能体式分析如何将扫描器信号转化为可操作的检测结果。
2026年7月16日
深入剖析最新版 GoPhish：借助 Ostorlab Agentic Deep Scan 开展源代码评估
一份针对最新版 GoPhish 的技术评估，考察该平台如何处理信任问题：身份、不可信内容、对象所有权、凭据生命周期与出站请求。借助 Ostorlab Agentic Deep Scan 开展的源代码分析确定了 8 项报告级发现、对应的 PoC 以及修复优先级。
2026年7月16日
漏洞利用 CVE-2026-42208：LiteLLM 通过 Bearer 令牌实现未授权 SQL 注入
对 CVE-2026-42208 的技术剖析：这是 LiteLLM Proxy API 中一个 CVSS 9.3 的严重未授权 SQL 注入漏洞。用于复杂多表连接的原始 SQL 查询未对 Bearer 令牌进行正确的参数化，从而允许基于布尔的盲注时间攻击，使未授权攻击者能够直接从数据库中窃取敏感数据，包括虚拟 API 密钥、用户信息以及 LLM 消费日志。
2026年5月22日
DirtyFrag：通过页缓存写入实现的通用 Linux 本地权限提升
对 DirtyFrag 的技术剖析：这是一对 Linux 内核本地权限提升漏洞（CVE-2026-43284 和 CVE-2026-43500，CVSS 7.8 高危），可让任何无特权的本地用户在大多数主流 Linux 发行版上获得 root 权限。通过串联 xfrm-ESP 与 RxRPC 的原地解密路径缺陷——二者都根植于与 Dirty Pipe 和 Copy Fail 相同的页缓存写入原语——该漏洞利用无需竞态条件即可覆盖只读的页缓存页面，实现接近 100% 的可靠性。
2026年5月13日
CVE-2026-44109：OpenClaw 飞书身份验证绕过至 RCE
对 CVE-2026-44109 的技术剖析，这是 OpenClaw（< 2026.4.15）中一个 CVSS 9.2 严重级别的身份验证绕过漏洞。飞书/Lark 插件中的两处失效即放行（fail-open）逻辑反转——一处位于 webhook 签名校验器，另一处位于卡片操作重放防护——使未经身份验证的攻击者能够向 OpenClaw 的命令分发引擎注入任意事件。当机器人启用了执行工具时，这将直接转化为在主机上以 OpenClaw 进程权限执行的、未经身份验证的远程代码执行。
2026年5月7日
CVE-2026-5205：Chatwoot 上传功能中的严重 SSRF 漏洞
深入分析 Chatwoot 上传端点（≤ v4.12.1）中的一个严重服务器端请求伪造（SSRF）漏洞。/api/v1/accounts/:id/upload 端点接受一个 external_url 参数，而该参数仅通过协议检查进行校验，使任何已认证的 agent 都能迫使服务器抓取任意内部 URL。完整的响应正文会通过 ActiveStorage blob 带内返回——将上传端点变成一个完整读取代理。在 DigitalOcean droplet 上的真实利用证实了云元数据的带内外泄，包括 droplet ID、主机名、SSH 公钥以及完整的元数据包。已在 v4.13.0 中修复。
2026年4月29日
面向银行与金融科技的 DORA 合规检查清单：可随时应对审计的运营韧性验证
DORA 合规检查清单帮助银行和金融科技机构在 ICT 风险、事件响应、韧性测试、第三方治理和监督等核心领域评估运营韧性，同时跟踪实施进度并支持审计准备。
2026年4月29日
医疗健康应用安全测试指南
如何对患者门户、医疗应用、API 和 SaMD 进行安全测试：ePHI 风险、HIPAA 与 GDPR 义务、SDLC 中的测试、持续监控以及事件响应。
2026年4月16日