SecEvery - Vulnerability Warning
2026-04-02
Google Chrome 是由谷歌开发的跨平台网页浏览器，以其速度、安全性和简洁的界面而闻名。它基于开源的Chromium项目，支持现代网页标准，具有强大的扩展性。Chrome的沙箱技术可以限制网页中的恶意代码，增强浏览器的安全性。它还提供了同步功能，允许用户在多个设备间同步书签、历史记录等数据。此外，Chrome定期更新，修复已知漏洞并增强功能，是全球使用最广泛的浏览器之一。2026年4月2日，启明星辰安全应急响应中心（VSRC）监测到Google Chrome Dawn Use\-After\-Free漏洞。该漏洞源于程序在释放内存后仍继续使用已失效指针，导致内存访问异常。攻击者在已突破renderer process沙箱的前提下，可通过构造恶意HTML页面触发该漏洞，从而实现任意代码执行或突破安全边界。该漏洞已被确认在野利用，表明其具备较高攻击价值与现实威胁。一旦被成功利用，可能导致用户终端被完全控制、敏感数据泄露，甚至成为攻击跳板，进而违反数据安全与隐私保护相关合规要求，对企业及个人用户构成严重安全风险。
2026-03-31
Vim是从vi发展出来的一个文本编辑器。其代码补完、编译及错误跳转等方便编程的功能特别丰富，在程序员中被广泛使用。 该漏洞源于 complete、guitabtooltip 和 printheader 三个选项缺少 P\_MLE 安全标志，导致脚本中的表达式可被用于注册任意命令。攻击者可以通过诱导用户打开特制文件，执行任意代码，从而导致获取系统控制权，可能导致数据泄露、系统破坏等严重后果。
2026-03-30
Vim是一款广泛使用的文本编辑器，支持多种编程语言的语法高亮、代码补全等功能，适用于代码开发和文档编辑。该漏洞存在于Vim的默认配置中，当打开一个特制文件时，由于tabline脚本中%\{expr\}的注入问题，允许攻击者执行任意代码。
2026-03-31
OpenClaw是一款面向自动化任务执行与智能代理调度的开源平台，支持通过命令驱动方式管理任务执行、系统配置及调试流程。系统具备插件扩展能力、权限控制机制及多角色协作能力，广泛应用于自动化运维、AI Agent调度及复杂工作流编排等场景。2026年3月30日，启明星辰安全应急响应中心（VSRC）监测到OpenClaw 未授权访问漏洞。该漏洞源于/config与/debug等敏感命令接口在实现过程中仅校验调用方是否具备command\-authorized权限，而未进一步验证是否为owner身份，导致权限控制逻辑缺失。攻击者可利用该缺陷，通过具备基础命令执行权限的账号访问本应仅限owner的配置与调试接口，读取或篡改系统关键配置参数，甚至获取敏感调试信息。该漏洞可能被用于权限提升、系统配置篡改及进一步攻击链构建，影响系统完整性与保密性，并可能违反相关数据安全与合规要求，对组织业务安全造成较大风险。
2026-03-31
2026年3月31日，互联网上披露 axios 项目遭受供应链攻击。在 axios 的 0.30.4 和 1.14.1 版本中存在恶意依赖 plain\-crypto\-js。安装受影响版本的包后会下载攻击者指定的远控木马并执行。官方已下线相关影响包，建议客户尽快排查。