ZONE.CI 全球网

本周漏洞周报披露了四个高危漏洞：MozillaFirefox和Thunderbird存在代码执行漏洞CVE-2026-0892影响147以下版本；MicrosoftOffice存在代码执行漏洞CVE-2026-42831影响多个版本；FirefoxJIT组件存在代码执行漏洞CVE-2026-8389影响150.0.3以下版本；IBMWebSphereApplicationServer存在SAML组件漏洞CVE-2026-9330可导致远程代码执行。所有漏洞均建议及时升级到最新版本进行修复。

本文档详细介绍了AceDataCloud平台查询API剩余额度的完整流程，包括获取申请ID、创建永久有效的账户令牌，以及通过GET请求查询剩余额度的具体API接口格式。文档提供了curl命令示例及Python、Node.js、Java、PHP等多种编程语言的实现代码，并说明响应结果中remaining\\_amount字段即为剩余额度值。

本文介绍macOS菜单栏开源小工具CodexQuotaCalendar，将Codex额度以日历圆环直观展示。工具注重隐私，无服务器与追踪，Token仅存本地。功能涵盖今日份额、周剩余额度及本地平滑预估，提供已签名公证的DMG包，用户可从GitHub下载或用Swift源码编译，适合需监控Codex额度的Mac用户。

本文深入分析TLSClientHello指纹技术，从JA3到JA4的演进揭示指纹稳定性带来的安全悖论。重点探讨不同TLS库在扩展排列、GREASE值生成、密钥格式等细节的差异如何形成难以伪造的指纹特征，并指出即使使用utls库高度伪造JA4指纹，仍会在HTTP/2SETTINGS帧等二阶特征上暴露真实客户端。文章提出多协议联合检测方案增强识别鲁棒性，为网络防御提供技术洞见。

IBMWebSphereApplicationServer8.5和9.0版本存在三个漏洞，包括两个严重XSS漏洞（CVE-2026-11712和CVE-2026-11708，CVSS9.3）和一个中等路径遍历漏洞（CVE-2026-11595，CVSS4.3），均影响管理控制台帮助系统。建议立即升级至FixPack9.0.5.29或8.5.5.31及以上版本，并加强访问监控。

国科大最新研究揭示AndroidKeystore硬件密钥保护机制高度依赖不可信环境，存在跨应用密钥滥用风险。实测160款应用发现，多数两步验证应用存在认证配置缺陷导致硬件隔离被绕过。该发现表明移动密钥安全高度依赖开发者策略配置，建议严格加固Keystore认证绑定机制以防范此类攻击。

WordPressCore存在预认证XSS远程代码执行漏洞(CVE-2026-64638)，影响6.4至7.0.2版本，CVSS评分9.8。攻击者无需认证即可通过登录失败流程注入DOM，结合SOME技术窃取管理员ApplicationPassword，最终上传恶意插件实现RCE。官方已发布7.0.3版本修复，建议立即升级或临时禁用ApplicationPassword。

REA作者公开AI逆向提示词，在X上获5千赞。该工具基于MCP，支持拆解APK、EXE、固件等，通过五步工作流实现逆向分析，强调证据纪律。文章指出其降低逆向门槛，但存在法律风险，防御方需重新评估客户端信任，重要判定应回收到服务端。

本周漏洞周报披露了四个高危漏洞：MozillaFirefox和Thunderbird存在代码执行漏洞CVE-2026-0892影响147以下版本；MicrosoftOffice存在代码执行漏洞CVE-2026-42831影响多个版本；FirefoxJIT组件存在代码执行漏洞CVE-2026-8389影响150.0.3以下版本；IBMWebSphereApplicationServer存在SAML组件漏洞CVE-2026-9330可导致远程代码执行。所有漏洞均建议及时升级到最新版本进行修复。

本文档详细介绍了AceDataCloud平台查询API剩余额度的完整流程，包括获取申请ID、创建永久有效的账户令牌，以及通过GET请求查询剩余额度的具体API接口格式。文档提供了curl命令示例及Python、Node.js、Java、PHP等多种编程语言的实现代码，并说明响应结果中remaining\\_amount字段即为剩余额度值。

本文介绍macOS菜单栏开源小工具CodexQuotaCalendar，将Codex额度以日历圆环直观展示。工具注重隐私，无服务器与追踪，Token仅存本地。功能涵盖今日份额、周剩余额度及本地平滑预估，提供已签名公证的DMG包，用户可从GitHub下载或用Swift源码编译，适合需监控Codex额度的Mac用户。

本文深入分析TLSClientHello指纹技术，从JA3到JA4的演进揭示指纹稳定性带来的安全悖论。重点探讨不同TLS库在扩展排列、GREASE值生成、密钥格式等细节的差异如何形成难以伪造的指纹特征，并指出即使使用utls库高度伪造JA4指纹，仍会在HTTP/2SETTINGS帧等二阶特征上暴露真实客户端。文章提出多协议联合检测方案增强识别鲁棒性，为网络防御提供技术洞见。

本文系统讲解基于Frida的AndroidDEX脱壳技术，梳理加固壳从一代整体加密到三代VMP及Dex2C的演进脉络，给出通过SO文件和Manifest识别加固厂商的方法，并横评frida-dexdump、frida\\_dump、FART等主流工具。核心技术深潜部分精读frida-dexdump源码，涵盖通配符匹配多版本DEXmagic、map\\_list双层校验防伪、从map\\_list末尾反推真实DEX大小、deep\\_search按header\\_size回溯定位、mp

IBMWebSphereApplicationServer8.5和9.0版本存在三个漏洞，包括两个严重XSS漏洞（CVE-2026-11712和CVE-2026-11708，CVSS9.3）和一个中等路径遍历漏洞（CVE-2026-11595，CVSS4.3），均影响管理控制台帮助系统。建议立即升级至FixPack9.0.5.29或8.5.5.31及以上版本，并加强访问监控。

国科大最新研究揭示AndroidKeystore硬件密钥保护机制高度依赖不可信环境，存在跨应用密钥滥用风险。实测160款应用发现，多数两步验证应用存在认证配置缺陷导致硬件隔离被绕过。该发现表明移动密钥安全高度依赖开发者策略配置，建议严格加固Keystore认证绑定机制以防范此类攻击。

360高级威胁研究院披露APT-C-24(响尾蛇)组织近期使用application文件进行钓鱼攻击,通过ClickOnce部署白加黑组件,最终植入Rust后门窃取敏感信息并实现远程控制。该组织滥用workers.dev等免费托管平台,仿冒巴基斯坦政府机构域名,攻击目标为南亚国家政府、国防等领域。建议用户提高安全意识,警惕钓鱼邮件。

WordPressCore存在预认证XSS远程代码执行漏洞(CVE-2026-64638)，影响6.4至7.0.2版本，CVSS评分9.8。攻击者无需认证即可通过登录失败流程注入DOM，结合SOME技术窃取管理员ApplicationPassword，最终上传恶意插件实现RCE。官方已发布7.0.3版本修复，建议立即升级或临时禁用ApplicationPassword。

REA作者公开AI逆向提示词，在X上获5千赞。该工具基于MCP，支持拆解APK、EXE、固件等，通过五步工作流实现逆向分析，强调证据纪律。文章指出其降低逆向门槛，但存在法律风险，防御方需重新评估客户端信任，重要判定应回收到服务端。

合合信息旗下TextIn成为首批获得亚马逊云科技AgenticAIApplications与GenerativeAIApplications双项认证的企业，表明其具备生产级自主人工智能系统交付能力。该认证基于严格的技术资质评估和客户实践案例，TextIN通过结合AmazonBedrock等技术为跨境票据识别、合同合规等场景提供文档智能化解决方案，有效降低企业跨境运营成本。

本周漏洞周报披露了四个高危漏洞：MozillaFirefox和Thunderbird存在代码执行漏洞CVE-2026-0892影响147以下版本；MicrosoftOffice存在代码执行漏洞CVE-2026-42831影响多个版本；FirefoxJIT组件存在代码执行漏洞CVE-2026-8389影响150.0.3以下版本；IBMWebSphereApplicationServer存在SAML组件漏洞CVE-2026-9330可导致远程代码执行。所有漏洞均建议及时升级到最新版本进行修复。

本文档详细介绍了AceDataCloud平台查询API剩余额度的完整流程，包括获取申请ID、创建永久有效的账户令牌，以及通过GET请求查询剩余额度的具体API接口格式。文档提供了curl命令示例及Python、Node.js、Java、PHP等多种编程语言的实现代码，并说明响应结果中remaining\\_amount字段即为剩余额度值。

本文介绍macOS菜单栏开源小工具CodexQuotaCalendar，将Codex额度以日历圆环直观展示。工具注重隐私，无服务器与追踪，Token仅存本地。功能涵盖今日份额、周剩余额度及本地平滑预估，提供已签名公证的DMG包，用户可从GitHub下载或用Swift源码编译，适合需监控Codex额度的Mac用户。

本文深入分析TLSClientHello指纹技术，从JA3到JA4的演进揭示指纹稳定性带来的安全悖论。重点探讨不同TLS库在扩展排列、GREASE值生成、密钥格式等细节的差异如何形成难以伪造的指纹特征，并指出即使使用utls库高度伪造JA4指纹，仍会在HTTP/2SETTINGS帧等二阶特征上暴露真实客户端。文章提出多协议联合检测方案增强识别鲁棒性，为网络防御提供技术洞见。

本文系统讲解基于Frida的AndroidDEX脱壳技术，梳理加固壳从一代整体加密到三代VMP及Dex2C的演进脉络，给出通过SO文件和Manifest识别加固厂商的方法，并横评frida-dexdump、frida\\_dump、FART等主流工具。核心技术深潜部分精读frida-dexdump源码，涵盖通配符匹配多版本DEXmagic、map\\_list双层校验防伪、从map\\_list末尾反推真实DEX大小、deep\\_search按header\\_size回溯定位、mp

IBMWebSphereApplicationServer8.5和9.0版本存在三个漏洞，包括两个严重XSS漏洞（CVE-2026-11712和CVE-2026-11708，CVSS9.3）和一个中等路径遍历漏洞（CVE-2026-11595，CVSS4.3），均影响管理控制台帮助系统。建议立即升级至FixPack9.0.5.29或8.5.5.31及以上版本，并加强访问监控。