ZONE.CI 全球网

pgAdmin团队修复了pgAdmin4中三个CVSS评分均高于9.0的严重漏洞，包括存储型XSS漏洞CVE-2026-12048、身份验证绕过漏洞CVE-2026-12046以及AI助手SQL注入漏洞CVE-2026-12045。这些漏洞可导致跨站脚本攻击、代码执行和SQL滥用风险，影响大量PostgreSQL用户。官方已在9.16版本中通过内容净化、添加身份验证装饰器和限制SQL执行等方式完成修复，建议用户立即升级并视数据库输入为不可信来源。

Squidbleed漏洞（CVE-2026-47729）是Squid代理服务器中存在29年的内存泄露漏洞，源于FTP目录解析代码对空字符处理不当导致指针越界。攻击者可在同一代理网络（如公共WiFi）下读取其他用户内存，泄露明文HTTP请求、账号密码、Cookie等敏感信息。修复建议立即禁用FTP代理功能或验证补丁是否包含空终止符检查。

文档详细分析了2026年6月公开的AppleA12/A13BootROM级别漏洞usbliter8，该漏洞源于DWC2控制器硬件设计缺陷，通过USBSetup包长度校验漏洞实现内存覆盖。漏洞影响iPhoneXR至11等设备且无法软件修复，目前PoC支持降级模式和启动未签名iBoot，为越狱提供基础但需专用硬件工具。文章深入解析了A12/A13不同的利用链及PAC绕过技术，并给出后利用方案。

AvoHQ于2026年6月17日修复了RubyonRails管理框架中的授权绕过漏洞CVE-2026-55518，该漏洞允许低权限用户越权关联记录导致权限提升或租户数据泄露，CVSS评分达9.6。受影响版本包括3.32.0及以下和4.0测试版至beta.50，官方已在v3.32.1和4.0.0-beta.51中修复并建议立即升级，同时需在创建操作时强制关联授权检查并添加回归测试。

该文档深度解析ChromeV8引擎CVE-2026-6307沙箱逃逸漏洞，揭示TurboFan编译器在JS-to-Wasm调用内联过程中因FrameState合并优化导致类型混淆，使攻击者仅凭此漏洞即可获得沙箱内任意读写原语并实现沙箱逃逸。漏洞影响Chrome106及以上版本，无需内存布局技巧即可实现远程代码执行。文章建议用户及时更新Chrome版本以修复此高危漏洞。

该文档披露GoogleChrome浏览器Autofill组件存在内存错误引用漏洞(CVE-2026-13038)，攻击者可通过构造恶意页面实现任意代码执行。影响版本为Chrome149.0.7827.197之前，厂商已发布修复补丁，建议用户及时更新至安全版本。

文档披露JCEEditor组件存在高危未授权访问漏洞CVE-2026-48907，攻击者无需登录即可通过profiles.import接口上传Webshell。关键发现包括攻击流量特征、遗留标记文件Nxploited及常见藏匿路径。建议立即升级至2.9.99.6版本、清理可疑Profile、扫描删除恶意文件并轮换系统凭证。

本文分享利用ClaudeCode结合DeepSeekPro4进行SRC自动化渗透测试的经验，核心建议是将个人测试流程、工具命令、脚本与payload字典结构化写入skill文件，配合循环指令实现自动化。但文章大部分篇幅实为525元SRC挖洞培训课程及内部知识星球的软文广告，包含课程表与学员收益截图，技术深度有限。

苹果于2026年7月1日发布iOS、macOS等系统安全更新，重点修复了WebKit引擎中4个由AI工具（如Claude、CodexSecurity）挖掘的漏洞（包括内存损坏、越界写入等），并罕见地提前推送补丁以应对AI加速漏洞利用的威胁，建议用户立即升级系统。

CVE-2026-8037是KempLoadMaster的预认证远程代码执行漏洞，根因是escape\\_quotes函数未初始化堆内存。攻击者通过堆喷洒和单引号扩展覆盖相邻块元数据，绕过字符串终止符注入恶意命令。补丁仅添加空字符终止，简单有效。建议立即升级至7.2.63.2或更新版本，并限制API访问。

本期预警通报五个严重漏洞：SimpleHelpRMM满分认证绕过已被CISA列入KEV且在野投递恶意软件；Giteaact\\_runner容器逃逸PoC公开危及CI/CD供应链；OracleEBS与AdobeColdFusion均存未认证远程接管漏洞且遭利用；StoneFlySQL注入致密钥窃取。建议立即升级相关组件，禁用非必要OIDC，轮换RMM与CI/CD凭证，启用工作流审批并限制公网暴露。

该文档复现了Discuz!X5.0认证绕过漏洞，影响版本为20260320至20260501。漏洞利用通过获取auth认证参数，将其置于code参数后，可下载备份数据库文件。文档还推广了内部圈子，提供更多漏洞POC和资源。

BlueHammer漏洞CVE-2026-33825正被勒索团伙利用，该漏洞涉及MicrosoftDefender组件，CISA已将其列入已知被利用漏洞目录。安全软件的高权限使其成为攻击目标，企业应确认补丁覆盖、复核更新链路、进行终端狩猎并补齐安全工具治理，不能完全信任单一防护工具。

ProgressKempLoadMaster存在高危漏洞CVE-2026-8037，PoC已公开且互联网上已出现利用尝试。该设备作为边界资产价值高，一旦被攻破可能影响内部应用。企业应立即升级至修复版本，严格限制管理面暴露，并排查异常活动。防守方需将负载均衡器纳入关键边界资产清单，缩短响应时间窗口。

深信服运维安全管理系统portal\\_login接口存在远程命令执行漏洞，未经身份验证的攻击者可利用该漏洞在服务器端执行任意代码、写入后门并获取服务器权限，利用难度较低。建议受影响的用户立即关闭互联网暴露面或设置访问权限，并升级至安全版本。可使用nuclei或afrog等工具进行自查。

安全研究员发布针对CVE-2026-24294的概念验证(PoC)，该漏洞利用WindowsServer2025通过任意TCP端口建立SMB连接的功能，结合本地SMB服务器与强制认证原语实现NTLM反射，最终通过中继特权认证获取系统权限。研究揭示Microsoft对CVE-2025-33073的修复存在局限性，建议防御方及时修补、强制SMB签名、减少NTLM使用并监控非标准端口流量。

本周CNNVD采集安全漏洞1886个，整体修复率87.70%。重要漏洞包括GoogleGeminiCLI输入验证错误漏洞、DellWyseManagementSuite路径遍历漏洞及Linuxkernel拒绝服务漏洞。人工智能方面，FlowiseAIFlowise和MicrosoftAzureAIBotService存在高危漏洞。建议用户及时关注厂商补丁并修复。

近期研究表明AI编码代理存在代理劫持(agentjacking)风险，攻击者通过在公共漏洞追踪服务植入虚假错误报告，诱使ClaudeCode、Cursor等AI代理在开发者机器上执行任意代码，导致凭证窃取、数据泄露等后果。其核心问题在于AI无法区分读取内容与可执行指令，现有安全机制难以检测。建议组织禁用安装脚本、要求代理执行高危操作前需人工批准，并以最小权限原则运行代理，长远需建立代理意图与用户意图的一致性监控机制。

USRC在2026年7月举办夏日探宝营活动，鼓励白帽子提交银联产权域名漏洞。活动提供额外兑换币奖励和新人礼品，但有限制条件如漏洞类型和数量。

RedAmon是一款开源攻击性安全平台，将资产侦察、漏洞利用、后渗透操作、AI漏洞分级研判与自动化代码修复整合为端到端流水线，最终可自动生成附带修复代码的GitHub合并请求。其核心基于Docker容器化架构，通过六大模块和自主AI智能体实现并行化安全测试，并内置人机协同机制与目标防护功能，兼容主流大模型。