Gitea 新远程代码执行漏洞：仓库写权限用户可植入 Git 钩子执行 Shell 命令
自托管 Git 平台 Gitea 已修补一个高危远程代码执行（RCE）漏洞。拥有普通仓库写权限的用户可将攻击者控制的补丁内容转化为可执行的 Git 钩子，并以 Gitea 服务账户身份运行 Shell 命令。该漏洞编号为 CVE-2026-60004（CVSS 评分 9.8），影响 1.17 及以上、1.27.1 之前的所有 Gitea 版本，已在 1.27.1 中修复。
日期: 2026年7月30日
Read More
俄罗斯指控 Telegram 创始人帕维尔·杜罗夫协助恐怖主义活动
俄罗斯联邦安全局（FSB）周三宣布，已对 Telegram 创始人帕维尔·杜罗夫提起指控，罪名包括涉嫌协助恐怖主义活动以及未按俄罗斯法律删除被禁止的信息。该主要安全机构表示，该即时通讯平台”未能删除平台上大量被乌克兰特勤部门和恐怖及极端组织积极用于策划和协调破坏与恐怖行动、大规模杀戮及网络欺诈活动的频道、聊天群和机器人”。
研究人员展示：单次访问恶意网页即可攻陷 Tor 浏览器
Nebula Security 表示，一个已修复的 Firefox JIT 缺陷仅需访问恶意网页即可触发，并被用于攻陷 Tor 浏览器。该漏洞编号 CVE-2026-10702，可在浏览器渲染进程内实现任意代码执行。Mozilla 将其评级为”高”，并在 Firefox 151.0.3 更新中修复。Nebula Security 首席执行官 Eten Zou 表示：”无需任何设置或额外用户交互，访问一个恶意网页就足以触发它。”
Ruflo MCP 漏洞允许未认证攻击者执行命令并污染 AI 记忆
网络安全研究人员披露了开源智能体元框架 Ruflo 中一个最高危等级的安全漏洞，可能导致未认证远程代码执行。该漏洞被编号为 CVE-2026-59726（CVSS 评分 10.0），影响 3.16.3 之前的所有版本，由 Noma Security 的研究团队 Noma Labs 代号命名为 RufRoot。
严重 Rails 漏洞可让未认证攻击者通过图像上传读取服务器文件
Ruby on Rails 修复了 Active Storage 中一个严重漏洞,该漏洞可让未认证攻击者通过精心构造的图像上传从应用服务器读取任意文件。该漏洞编号为 CVE-2026-66066(CVSS 评分:9.5),可能泄露 Rails 进程环境及 secret_key_base、master key、数据库密码、云存储凭证和 API 令牌等机密。