ZONE.CI 全球网

本文基于真实代码审计发现的企业级IM命令行工具devtalk-cli供应链攻击链。攻击链由三个看似合理的漏洞组成：configsetupgradeUrl无需登录可指向任意HTTP服务器、upgrade命令无需身份验证即可触发、升级包SHA256校验非强制可被绕过。攻击者通过修改升级地址、伪造不含校验和的manifest文件，可在12秒内植入恶意脚本窃取环境变量中的敏感信息。文章强调安全审计需关注逻辑串联而非孤立代码，并给出三项修复建议：升级加身份验证、SHA256强制校验、upgradeUrl加白名单。

Synacktiv发现ArgoCDrepo-server组件存在未认证RCE漏洞，可导致整个Kubernetes集群被攻陷。文章详细介绍了利用CodeQL进行静态分析发现漏洞的过程，包括自定义RemoteFlowSource以增强污点跟踪，并描述了从漏洞利用到获取集群控制权的完整攻击链。建议用户立即升级ArgoCD版本并实施网络隔离等缓解措施。

该文档深度拆解了一个伪装成PerplexityAI的恶意Chrome扩展，该扩展利用ManifestV3高级API和域名仿冒实现搜索流量劫持。攻击者通过两跳代理模型记录用户查询并重定向，服务端代码直接打包在扩展内。文档提供了防御建议和KQL查询，强调企业应强制扩展允许列表并监测异常流量。

detection.wiki是一个Windows事件目录网站，收录了1393个事件提供者和99722个事件，覆盖安全审计、Sysmon、PowerShell等主流及冷门provider，并包含第三方软件事件。它可用于写检测规则、应急溯源和攻防对抗，但需注意收录不等于实际产生，数据为快照版本。建议写规则前先核对provider全名和EventID。

本文详细分析了ollama路径穿越漏洞CVE-2026-103663，根因是digesttopath函数缺少校验，攻击者可利用恶意registry通过API触发任意文件写入，在官方Docker镜像中可升级为root远程代码执行。影响版本0.34.2至0.35.0，CVSS9.4，已有公开POC。建议升级至0.35.0并限制API访问。

Synacktiv发现ArgoCDrepo-server组件存在未认证RCE漏洞，可导致整个Kubernetes集群被攻陷。文章详细介绍了利用CodeQL进行静态分析发现漏洞的过程，包括自定义RemoteFlowSource以增强污点跟踪，并描述了从漏洞利用到获取集群控制权的完整攻击链。建议用户立即升级ArgoCD版本并实施网络隔离等缓解措施。

该文档深度拆解了一个伪装成PerplexityAI的恶意Chrome扩展，该扩展利用ManifestV3高级API和域名仿冒实现搜索流量劫持。攻击者通过两跳代理模型记录用户查询并重定向，服务端代码直接打包在扩展内。文档提供了防御建议和KQL查询，强调企业应强制扩展允许列表并监测异常流量。

detection.wiki是一个Windows事件目录网站，收录了1393个事件提供者和99722个事件，覆盖安全审计、Sysmon、PowerShell等主流及冷门provider，并包含第三方软件事件。它可用于写检测规则、应急溯源和攻防对抗，但需注意收录不等于实际产生，数据为快照版本。建议写规则前先核对provider全名和EventID。

GhostDesk攻击链结合nativeWindowsloader与Chrome扩展间谍软件。用户从仿冒CCleaner网站下载恶意exe后，通过CScript启动多阶段脚本，替换runtimebroker.dll并修改ChromeSecurityExtension的manifest.json，注入content.js和background.js实现键盘记录、凭证窃取、剪贴板劫持及cookie窃取。攻击者使用DuckDNS域名作为C2，并利用本地WebSocketrelay。检测需关注跨层链路，包括文件监

本文深入分析FastJson1.2.83RCE漏洞原理，探讨AppClassLoader与LaunchedURLClassLoader差异，指出在SpringBoot和JDK9+环境下无法直接RCE，但可通过jar:file和jar:http协议突破。提供复现步骤和利用方法，对安全研究人员具有参考价值。

该文档深度拆解了一个伪装成PerplexityAI的恶意Chrome扩展，该扩展利用ManifestV3高级API和域名仿冒实现搜索流量劫持。攻击者通过两跳代理模型记录用户查询并重定向，服务端代码直接打包在扩展内。文档提供了防御建议和KQL查询，强调企业应强制扩展允许列表并监测异常流量。

detection.wiki是一个Windows事件目录网站，收录了1393个事件提供者和99722个事件，覆盖安全审计、Sysmon、PowerShell等主流及冷门provider，并包含第三方软件事件。它可用于写检测规则、应急溯源和攻防对抗，但需注意收录不等于实际产生，数据为快照版本。建议写规则前先核对provider全名和EventID。

GhostDesk攻击链结合nativeWindowsloader与Chrome扩展间谍软件。用户从仿冒CCleaner网站下载恶意exe后，通过CScript启动多阶段脚本，替换runtimebroker.dll并修改ChromeSecurityExtension的manifest.json，注入content.js和background.js实现键盘记录、凭证窃取、剪贴板劫持及cookie窃取。攻击者使用DuckDNS域名作为C2，并利用本地WebSocketrelay。检测需关注跨层链路，包括文件监

本文深入分析FastJson1.2.83RCE漏洞原理，探讨AppClassLoader与LaunchedURLClassLoader差异，指出在SpringBoot和JDK9+环境下无法直接RCE，但可通过jar:file和jar:http协议突破。提供复现步骤和利用方法，对安全研究人员具有参考价值。

Synacktiv发现ArgoCDrepo-server组件存在未认证RCE漏洞，可导致整个Kubernetes集群被攻陷。文章详细介绍了利用CodeQL进行静态分析发现漏洞的过程，包括自定义RemoteFlowSource以增强污点跟踪，并描述了从漏洞利用到获取集群控制权的完整攻击链。建议用户立即升级ArgoCD版本并实施网络隔离等缓解措施。

该文档深度拆解了一个伪装成PerplexityAI的恶意Chrome扩展，该扩展利用ManifestV3高级API和域名仿冒实现搜索流量劫持。攻击者通过两跳代理模型记录用户查询并重定向，服务端代码直接打包在扩展内。文档提供了防御建议和KQL查询，强调企业应强制扩展允许列表并监测异常流量。

detection.wiki是一个Windows事件目录网站，收录了1393个事件提供者和99722个事件，覆盖安全审计、Sysmon、PowerShell等主流及冷门provider，并包含第三方软件事件。它可用于写检测规则、应急溯源和攻防对抗，但需注意收录不等于实际产生，数据为快照版本。建议写规则前先核对provider全名和EventID。

GhostDesk攻击链结合nativeWindowsloader与Chrome扩展间谍软件。用户从仿冒CCleaner网站下载恶意exe后，通过CScript启动多阶段脚本，替换runtimebroker.dll并修改ChromeSecurityExtension的manifest.json，注入content.js和background.js实现键盘记录、凭证窃取、剪贴板劫持及cookie窃取。攻击者使用DuckDNS域名作为C2，并利用本地WebSocketrelay。检测需关注跨层链路，包括文件监

本文深入分析FastJson1.2.83RCE漏洞原理，探讨AppClassLoader与LaunchedURLClassLoader差异，指出在SpringBoot和JDK9+环境下无法直接RCE，但可通过jar:file和jar:http协议突破。提供复现步骤和利用方法，对安全研究人员具有参考价值。

GhostDesk攻击链结合nativeWindowsloader与Chrome扩展间谍软件。用户从仿冒CCleaner网站下载恶意exe后，通过CScript启动多阶段脚本，替换runtimebroker.dll并修改ChromeSecurityExtension的manifest.json，注入content.js和background.js实现键盘记录、凭证窃取、剪贴板劫持及cookie窃取。攻击者使用DuckDNS域名作为C2，并利用本地WebSocketrelay。检测需关注跨层链路，包括文件监

本文深入分析FastJson1.2.83RCE漏洞原理，探讨AppClassLoader与LaunchedURLClassLoader差异，指出在SpringBoot和JDK9+环境下无法直接RCE，但可通过jar:file和jar:http协议突破。提供复现步骤和利用方法，对安全研究人员具有参考价值。

本文基于真实代码审计发现的企业级IM命令行工具devtalk-cli供应链攻击链。攻击链由三个看似合理的漏洞组成：configsetupgradeUrl无需登录可指向任意HTTP服务器、upgrade命令无需身份验证即可触发、升级包SHA256校验非强制可被绕过。攻击者通过修改升级地址、伪造不含校验和的manifest文件，可在12秒内植入恶意脚本窃取环境变量中的敏感信息。文章强调安全审计需关注逻辑串联而非孤立代码，并给出三项修复建议：升级加身份验证、SHA256强制校验、upgradeUrl加白名单。

该文档深度拆解了一个伪装成PerplexityAI的恶意Chrome扩展，该扩展利用ManifestV3高级API和域名仿冒实现搜索流量劫持。攻击者通过两跳代理模型记录用户查询并重定向，服务端代码直接打包在扩展内。文档提供了防御建议和KQL查询，强调企业应强制扩展允许列表并监测异常流量。

detection.wiki是一个Windows事件目录网站，收录了1393个事件提供者和99722个事件，覆盖安全审计、Sysmon、PowerShell等主流及冷门provider，并包含第三方软件事件。它可用于写检测规则、应急溯源和攻防对抗，但需注意收录不等于实际产生，数据为快照版本。建议写规则前先核对provider全名和EventID。

GhostDesk攻击链结合nativeWindowsloader与Chrome扩展间谍软件。用户从仿冒CCleaner网站下载恶意exe后，通过CScript启动多阶段脚本，替换runtimebroker.dll并修改ChromeSecurityExtension的manifest.json，注入content.js和background.js实现键盘记录、凭证窃取、剪贴板劫持及cookie窃取。攻击者使用DuckDNS域名作为C2，并利用本地WebSocketrelay。检测需关注跨层链路，包括文件监