Cloudflare修复了容器环境中出现的跨租户数据泄露问题
Cloudflare公开了一项与其容器及沙箱服务相关的安全漏洞：该漏洞是由于配置不当的存储系统导致被重复使用的数据块未被清零，从而引发了跨租户的数据泄露问题。研究人员在四大洲发现了被泄露的目录结构、数据库页面以及完整的SQLite数据库文件。Cloudflare已经针对这一漏洞采取了补救措施，目前尚未发现有任何有人利用该漏洞进行攻击的行为。 作者：Steef-Jan Wiggers
Cloudflare公开了一项与其容器及沙箱服务相关的安全漏洞：该漏洞是由于配置不当的存储系统导致被重复使用的数据块未被清零，从而引发了跨租户的数据泄露问题。研究人员在四大洲发现了被泄露的目录结构、数据库页面以及完整的SQLite数据库文件。Cloudflare已经针对这一漏洞采取了补救措施，目前尚未发现有任何有人利用该漏洞进行攻击的行为。
作者：Steef-Jan Wiggers 相关文章
通过SNMP处理程序进行ZCS命令注入，从而实现未经授权的远程代码执行
Zimbra协作套件中存在一种严重的远程命令执行漏洞，其CVE编号为CVE-2026-73570。这一漏洞会允许未经授权的用户访问邮箱数据及用户名密码，从而带来严重风险。由于该漏洞源于输入数据的清洗处理不当，因此已被不法分子恶意利用。建议各组织尽快将Zimbra升级到10.1.20版本，或禁用存在风险的SNMP服务，以降低风险。 作者：Olimpiu Pop
阅读全文
Cloudflare Traces将代理层转换为OpenTelemetry Span格式，并推出了基于使用量的新计价模式。
Cloudflare已将“Traces”功能推入公开测试阶段，这一功能将自动追踪的功能扩展到了Workers、安全规则、数据转换、缓存处理、路由机制以及源服务器管理等领域，并且这些追踪数据都符合OpenTelemetry的标准。Traces功能能够接收并转发W3C规定的traceparent头部信息，而“Trace Rules”则允许用户进行有针对性的数据采样。从12月1日起，Cloudflare的收费方式将改为根据数据摄入量及存储容量来收取费用。 作者：Steef-Jan Wiggers
阅读全文
Cloudflare利用R2对象存储来构建事件流系统，其数据产生的延迟仅为一秒钟。
Cloudflare已经推出了K2测试版，这是一种基于无服务器架构的事件流处理服务，其数据存储系统采用R2对象存储技术。据Cloudflare称，该服务的平均响应延迟约为1秒（在P95百分位值下）；不过有测试者报告称，端到端的响应延迟为7.5秒，而代表开发团队回应的评论者表示，这一数值确实高于预期。该服务的使用费用与数据生成费用相同，按每GB计算。 作者：Steef-Jan Wiggers
阅读全文
对象关系映射框架为何仍会允许SQL注入攻击的发生（以及如何弥补这些安全漏洞）
许多开发人员认为，一旦使用了对象关系映射工具，SQL注入问题就不再存在了。但实际上，这个问题并没有消失，只是转移到了其他地方。 像Sequelize、Prisma、TypeORM和Knex这样的对象关系映射工具会自动为你生成参数化的查询语句，这一功能确实非常实用。但问题往往出现在那些超出了这些工具安全处理范围的代码部分——比如那些无法被对象关系映射工具的查询构建器清晰表达的原始SQL语句、动态排序字段，或者那些被不加思考就直接使用的辅助函数。 恰恰就是这些地方，会成为攻击者首先关注的目标。而且由于应用程序的其他部分看起来都受到了保护，开发者很容易忽视这些问题。 本文将重点讨论四种这类常见的安全
阅读全文