漏洞分析

开源大模型LangChain披露了一个严重级别的序列化注入漏洞（CVE-2025-68664），这一漏洞由Cyata Security的安全研究员Yarden Porat发现，在序列化/反序列化流程中存在”lc”键转义缺失，攻击者可通过提示词注入等手段导致环境变量泄露、任意对象实例化乃至远程代码执行。该漏洞影响LangChain Core 0.3.81版本前及1.0.0-1.2.5版本范围内的全部部署，官方已在12月24日发布补丁版本1.2.5及0.3.81，并同步收紧默认安全策略。

PromptPwnd是Aikido Security研究团队发现的新型漏洞，对集成AI代理的GitHub Actions和GitLab CI/CD管道构成了严重威胁。该漏洞利用提示注入（Prompt Injection），通过向AI模型注入恶意指令，使其执行高权限操作，从而导致密钥泄露、工作流操纵和供应链妥协。至少5家财富500强企业受到影响，谷歌Gemini CLI等多个知名项目已被验证存在该漏洞。

CVE-2025-34291 是在 Langflow AI 代理与工作流平台中发现的一个严重漏洞链，安全评分达到 CVSS v4.0: 9.4。该漏洞允许攻击者通过诱导用户访问恶意网页，实现对 Langflow 实例的完全账户接管和远程代码执行（RCE）。

CVE-2025-55182漏洞受影响版本中React 19引入，Next.js App Router 将来自客户端的 RSC 序列化数据直接交由 ReactFlightReplyServer 反序列化，未对模型结构、引用路径与 Server Reference 元数据进行充分校验。攻击者可构造恶意 RSC请求，引导 parseModelString、getOutlinedModel、loadServerReference、initializeModelChunk 等解析链路进入异常状态，在模块加载与引用绑定阶段控制调用目标，最终在 Next.js 中可触发任意服务端代码执行。

本文介紹了360 Vulpecker Team的安全研究員黎博與張馨所進行的行動APP第三方SDK漏洞挖掘實戰。 360 Vulpecker Team專注於安卓系統和應用安全攻防領域，在安卓應用安全審計方面具有自主研發的自動化系統。本文從第三方SDK的安全現況著手，探討了SDK整合帶來的安全風險，並詳細介紹了不同SDK所存在的漏洞風險和攻擊方式。透過實例分析了推送SDK和分享類別SDK的漏洞方式，並指出了相關漏洞對應用程式的影響範圍。最後，提出了一些思考，以引發讀者對行動APP安全性的關注與深入思考。

Google Android 14輸入法資訊外洩漏洞，由於側通道資訊洩露，有一種可能無需查詢權限即可確定應用程式是否安裝的方法。這可能會導致本地資訊洩露，而無需額外的執行權限。利用該漏洞不需要使用者互動。

2021年11月24日，阿里雲安全團隊向Apache官方報告了Apache Log4j2遠端程式碼執行漏洞。 01 漏洞描述Apache Log4j2是一款優秀的Java日誌框架。 …