ZONE.CI 全球网

文档分析发现攻击者通过发布名为shai\\_hulululud的npm包，采用提示注入、安全触发注释、上下文泛洪和混淆JavaScript等手段，专门干扰AI恶意软件扫描器的分析流程。该包在注释中嵌入伪造的系统指令和大量重复内容，旨在触发扫描器安全防护、耗尽上下文窗口或导致分析中断，最终将实际代码隐藏在文件末尾。研究表明恶意行为者正将AI扫描系统本身作为攻击面，需通过确定性预处理、多技术融合等方式强化防御。

2026年6月10日启明星辰通报GoogleChromeV8引擎越界内存访问漏洞CVE-2026-11645，评分8.8高危。攻击者通过特制网页可远程执行代码，影响Windows/Mac/Linux多个版本Chrome。官方已发布149.0.7827.102及以上版本修复，建议立即升级并加强网络访问控制、启用多因素认证。

本文作者分享了其作为漏洞赏金猎人的经历，讲述如何通过分析网页源代码和JavaScript文件，发现一个大型网站的在线客服聊天机器人存在严重漏洞。作者在Drupal设置JSON中找到聊天APIURL，进而在公开的env\\_app.js配置文件中获取到MQTT连接用户名、密码及URL等敏感信息。利用这些信息，作者通过Node.js脚本成功以admin身份登录，并使用通配符订阅主题，从而实时读取所有客户的支持聊天记录，导致用户个人数据泄露。最终，作者向HackerOne提交报告并获得四位数赏金。

文档披露社会化分享插件bshare遭供应链投毒攻击事件，攻击者抢注过期域名篡改脚本，导致1.5万网站被植入暗链。攻击采用分时地域触发等反监测策略，存在升级为数据窃取等风险。建议立即排查引用、本地化资源、启用SRI校验并清理缓存。

CSTIS监测发现Remcos恶意软件7.2.1Pro新变种利用DonutLoader内存加载技术，通过钓鱼邮件投递Bestellung.CMD文件，结合PowerShell/VBScript/JavaScript三层脚本及Base64/XOR加密手段，注入系统进程实施远程控制。建议立即更新防病毒软件、全盘查杀、谨慎处理邮件附件并定期备份数据。

工业和信息化部网络安全威胁和漏洞信息共享平台监测发现Remcos远程访问木马新型变种正在活跃传播。该变种首次融合DonutLoader内存加载与AutoIt脚本调度技术，通过钓鱼邮件诱导用户执行恶意批处理文件，利用系统合法工具层层解码后注入合法进程执行恶意行为，具备远程控制、信息窃取等高风险能力。建议用户及时更新防病毒软件、谨慎处理邮件附件并定期备份数据。

该文档通过逆向工程分析ClaudeCode2.1.196版本，发现其针对中国用户进行特殊指纹测绘。当用户设置自定义API端点时，程序会通过Unicode字符编码隐蔽传输三类信息：是否使用已知中国域名、是否包含AI实验室关键词、是否使用中国时区。分析确认了147个监控域名和11个AI实验室关键词列表，测绘数据随模型请求发送而非独立遥测。

该文档深度解析ChromeV8引擎CVE-2026-6307沙箱逃逸漏洞，揭示TurboFan编译器在JS-to-Wasm调用内联过程中因FrameState合并优化导致类型混淆，使攻击者仅凭此漏洞即可获得沙箱内任意读写原语并实现沙箱逃逸。漏洞影响Chrome106及以上版本，无需内存布局技巧即可实现远程代码执行。文章建议用户及时更新Chrome版本以修复此高危漏洞。

该文档详细分析了ChromeV8JavaScript引擎中的一个堆沙箱逃逸漏洞(CVE-2026-6307)。漏洞存在于TurboFanJIT编译器中，通过操纵JS-to-Wasm调用的去优化元数据，攻击者能以100%成功率获得任意内存读写原语，并实现沙箱逃逸与远程代码执行。该漏洞影响从Chrome106开始的版本，横跨4年时间。核心问题在于FrameState节点合并导致Wasm返回类型混淆，使去优化器错误解释寄存器中的位模式。

本文探讨了一种绕过ARM64指针认证（PAC）的新方法。该方法利用JavaScriptJIT编译过程，通过精心构造的shellcode喷射，在指令域签名而在数据域校验，从而绕过PAC验证。文章详细分析了PAC的密钥分域机制、JIT喷射攻击原理，并从细粒度密钥管理、JIT常量隔离等方面提出了防御建议。

朝鲜黑客组织在PolinRider行动中发布108个恶意软件包和扩展程序，分布在npm、Packagist、Go和GoogleChrome平台。攻击者通过传染性面试手法入侵GitHub仓库，植入混淆的JavaScript载荷，利用VSCode任务文件触发执行，并采用Git历史重写技术隐藏痕迹。最新攻击链涉及区块链基础设施获取第二阶段载荷。建议用户轮换密钥、审计仓库并移除受影响版本。

朝鲜APT组织PolinRider向npm、Packagist、Go和ChromeWebStore投放108个恶意软件包，通过虚假面试诱骗开发者安装，入侵后注入恶意代码并重写Git历史以隐藏痕迹，使用区块链架构C2传输DEV#POPPERRAT和OmniStealer木马窃取凭证。建议企业立即排查开发者工作站和GitHub仓库，部署依赖扫描工具并建立供应链安全响应预案。

本文分享了一次获两万三千美元赏金的漏洞挖掘过程。研究者通过篡改JWT令牌中的realm字段实现管理后台认证绕过，并利用服务端对Authorization头Bearer关键字校验不严的缺陷绕过API鉴权。最终结合文件上传接口触发AmazonS3与CloudFront的任意文件覆写漏洞，可篡改前端JS或EXE文件实施攻击。建议严格校验JWT声明、规范化认证头解析并限制S3文件覆写权限。

FirefoxJIT引擎存在CVE-2026-10702高危漏洞，攻击者可通过恶意JS触发越界读写实现沙盒内任意代码执行。Mozilla已在151.0.3版本修复。建议立即升级或禁用JIT编译作为临时缓解。该漏洞已被纳入IonStack安卓Root攻击链，实战风险极高。

本文介绍了纯PythonWebUI框架NiceGUI，开发者无需编写前端代码即可构建Web应用。文章通过代码示例展示了其组件调用、事件绑定与布局系统等特性。该工具底层封装Vue.js，适合内部工具开发与数据仪表盘等场景。建议有快速Web化需求的Python开发者使用，以降低前端门槛并提升效率。

本文介绍Frida脚本从单文件向工程化项目的进化，使用TypeScript和frida-compile实现模块化、类型检查和调试支持。核心方案包括搭建项目结构、编写通用工具库、配置编译流程，并通过ChromeDevTools和Objection辅助调试。文章提供了从npminit到frida加载的完整实战步骤，解决代码重复、维护困难和类型检查缺失等痛点。

朝鲜黑客组织Polinrider发布108个恶意软件包和扩展程序，涉及npm、Packagist、Go和Chrome，通过入侵维护者账户植入恶意代码，与ContagiousInterview活动相关。攻击者利用招聘手段诱骗开发者，在配置文件中附加恶意JS，使用VSCode任务触发执行，并重写Git历史记录。建议用户轮换密钥、审核代码库。

该文档详细分析了契约锁产品中通过Less编译功能实现远程代码执行的漏洞利用链。核心发现是/api/css接口调用Less.compile时，若默认配置文件CustomStyleExample.less内容可控，可通过反引号注入JavaScript表达式触发代码执行。同时，文档揭示了通过/document/createbyfile接口上传特定文件（如HTML）可间接控制less文件内容，但利用需满足默认配置且未更改自定义样式等条件。建议关注此类隐式代码执行点及接口权限控制。

Yuku是一款纯Zig编写的JavaScript与TypeScript工具链，旨在构建完整的现代编译基础设施。其核心优势在于兼顾规范兼容性与极致性能，Parser已通过数万条测试用例验证，官方基准测试显示其解析吞吐量达SWC两倍、传统解析器三到十倍。此外，Yuku利用Zig的comptime特性和紧凑内存布局优化了Node.jsBinding的跨语言交互效率，实现构建阶段零C依赖。目前其解析与语义分析能力已达生产可用，建议开发者将其作为Linter或IDE语言服务的基础设施进行评估，但全面采用仍需观察其生

俄罗斯APT组织TA488利用Zimbra零点击XSS漏洞CVE-2025-66376，仅靠邮件预览即可触发ZimReaper木马，窃取凭证与90天邮件并建立持久后门。建议企业立即升级补丁并清查异常应用专用密码，个人需定期审查邮箱授权以防无感知窃密。

本文指出浏览器正成为攻击链中的执行平台，攻击者利用JavaScript在浏览器内存中构建恶意代码实现无文件攻击，并通过恶意广告传播。传统检测方式难以发现此类动态行为。观初科技提出ASOC智能安全运营方案应对。

本文分析了近期Firefox、Chrome、Adobe及VMware集中发布的高危漏洞补丁，重点剖析了Firefox的WebAssembly无效指针与站点隔离绕过漏洞、Chrome的Ozone层释放后使用漏洞、AdobeColdFusion与AEM的远程代码执行及SSRF/XXE漏洞，以及VMwareAvi负载均衡的身份验证绕过漏洞。文章指出内存破坏与逻辑越权是漏洞常青树，并建议用户立即升级浏览器至指定版本，企业运维需更新ColdFusion与VMwareAvi补丁，开发人员应禁用XML外部实体解析并严格

Node.js突发10个安全漏洞，涵盖远程代码执行、证书校验绕过、权限绕过等类型，影响26.x/24.x/22.x版本线。高危漏洞包括Brotli解码器越界写RCE及多种TLS证书校验绕过，另有DNS空字节截断、权限模型绕过等问题。官方暂未披露技术细节及POC，建议升级至安全版本，暂无临时缓解方案。

本文探讨AI辅助构建渗透测试爬虫系统，将爬虫演进分为基于HTTP与HTML的1.0、基于浏览器执行的2.0及引入AI语义分析的3.0三个阶段。核心观点是AI可分析配置文件、JavaScript等材料，从中恢复接口、路由及关联资产，弥补传统爬虫对未执行代码和非运行时材料解释能力的不足，提升攻击面发现完整性。

本文介绍NDSS2026论文JSIMPLIFIER，提出三阶段框架协同预处理、静态动态反混淆与LLM可读性增强，覆盖20种混淆技术，在MalJS等数据集验证效果，但存在LLM重命名幻觉等局限，建议将LLM用于辅助决策而非直接生成代码。