扬帆起航：SailPoint IQService 默认加密密钥引发的远程代码执行漏洞

CVE-2024-28989：SolarWinds Web Help Desk 使用可预测的 AES-GCM 加密密钥（部分为静态默认密钥，部分密钥空间极小），攻击者获取备份文件后即可恢复其中存储的密码，官方已在 12.8.5 版本修复。

分析 Cisco ASA 的 CVE-2016-1287 漏洞：IKE 分片重组溢出可导致未认证远程代码执行，作者基于抓包分析编写 Python 验证工具，通过畸形分片响应区分存在漏洞与已修复的设备。

CVE-2026-28326 是 SolarWinds ARM 中的未认证远程代码执行漏洞，TCP 55555 端口上的硬编码共享密钥可直接导致 SYSTEM 级代码执行，请尽快修补。

详解 Chef Automate 的 SQL 注入：XBOW 凭鲜为人知的默认 data-collector 令牌取得入口，认证攻击者可对 PostgreSQL 执行任意 SQL，漏洞已上报上游修复。

非营利平台 ZeroDisclo.com 改版：该平台以加密方式将匿名漏洞报告转交 CERT，自身无法读取报告细节；新版优化提交界面与信息隐藏选项，新增 FAQ 与简明披露政策。

HackerOne 员工复盘在巴黎戴高乐机场的经历：登机前被要求开机并解锁笔记本电脑，全盘加密因此被解密；作者解释客户漏洞数据为何不受影响，并探讨边境设备检查的隐私困境。