ZONE.CI 全球网

研究者披露FIFA世界杯后台存在高危越权漏洞。通过公开注册账号进入Entra租户后，因后端API未校验角色，成功绕过前端拦截访问流媒体配置、RTMP推流入口及实时赛事数据面板。根因在于服务端授权缺失及权限边界混乱。建议企业必须实施服务端强制鉴权，严格区分身份认证与授权，并完善外部账号权限隔离与安全披露渠道。

本文档详细介绍了AceDataCloud平台查询API剩余额度的完整流程，包括获取申请ID、创建永久有效的账户令牌，以及通过GET请求查询剩余额度的具体API接口格式。文档提供了curl命令示例及Python、Node.js、Java、PHP等多种编程语言的实现代码，并说明响应结果中remaining\\_amount字段即为剩余额度值。

该文档分析了GeoServer漏洞CVE-2025-52465，指出具有ADMIN权限的用户可利用writeMasterPasswordInfo函数将主密码明文写入任意文件。漏洞可导致两种攻击：通过注入恶意代码到JSP文件实现代码执行，或在Windows系统下利用UNC路径触发SMB认证从而捕获NTLM哈希。文档提供了漏洞复现步骤包括启动GeoServer、构造POST请求及利用Inveigh工具监控哈希。

本文介绍使用DockerBuildx构建多架构Docker镜像的三种方法：租用ARM机器、使用DockerDesktop或通过Hermes配置环境。重点讲解buildx命令参数使用，包括–platform指定架构、–load加载到本地、–push推送到仓库，并详细说明单平台与多平台镜像构建的具体命令示例和注意事项。

CVE-2026-20230披露思科统一通信管理器存在未认证任意文件写入漏洞，攻击者通过组合SSRF漏洞和主机名绕过机制，可写入恶意文件实现远程代码执行。文档详细分析了漏洞链触发路径及配置文件缺陷，并提供了厂商补丁链接和修复建议。

AceDataCloudMCP是一个统一的MCP服务器，将AceDataCloud的账户管理（余额、用量、APIKey、订单、平台Token）与目录文档（服务、API、OpenAPI规范、模型清单、价格、文档检索）封装成AI助手可直接调用的工具。它走管理控制台接口，不生成内容，而是帮助AI查账户、查用量、管Key、查文档、查接口、查价格。用户需使用平台Token连接，支持远程和本地两种方式，提供只读和写操作工具。

XWikiPlatformOldCore存在目录遍历漏洞(CVE-2026-34151)，影响17.10.5以下及18.0.0-rc-1至18.2.0以下版本。攻击者无需认证即可通过双重编码绕过路径校验，读取服务器敏感文件，威胁等级高危。官方已发布修复版本，建议升级至17.10.5或18.2.0及以上版本，并采取临时缓解措施。

XWikiPlatform旧版核心组件存在高危路径遍历漏洞(CVE-2026-34151),攻击者无需认证即可远程读取系统配置、用户凭证哈希等敏感数据。影响全系列低于17.10.5版本。官方建议升级至17.10.5及以上版本,临时措施包括Nginx拦截私有路由和限制公网访问。

启明星辰通报SonicWallSMA1000设备存在严重SSRF漏洞CVE-2026-15409，CVSS满分。该漏洞无需认证且已遭在野利用，攻击者可借此探测内网并获取敏感信息。受影响版本涵盖12.4.3与12.5.0多个构建号，建议相关用户立即升级至12.4.3-03453或12.5.0-02835及以上热修复版本，并加强网络访问控制以收敛攻击面。

奇安信CERT发布SonicWallSMA1000高危SSRF漏洞(CVE-2026-15409)安全通告，该漏洞CVSS评分10.0，PoC和EXP已公开且发现野利用。攻击者可利用WorkPlace界面验证缺陷发起请求，导致敏感信息泄露或内网探测。建议立即升级至安全版本12.4.3-03453或12.5.0-02835，并采取限制访问、部署WAF等缓解措施。

XWikiPlatform存在高危路径遍历漏洞CVE-2026-34151，攻击者可利用Jetty12+特有的URL解码特性，通过双重URL编码序列绕过端点路径限制，读取系统及服务器敏感配置文件导致信息泄露。该漏洞影响多个版本且POC已公开，建议受影响用户尽快访问官网升级至安全版本以修复此风险。

VMwarevCenter存在高危认证绕过漏洞CVE-2026-59309，攻击者可通过网络绕过认证获得未授权访问。影响EchoSecureVirtualizationPlatform，但具体版本未明确。建议立即隔离管理面与业务面，限制可信网段访问，启用多因素认证，并关注Broadcom官方公告获取补丁。

研究者披露FIFA世界杯后台存在高危越权漏洞。通过公开注册账号进入Entra租户后，因后端API未校验角色，成功绕过前端拦截访问流媒体配置、RTMP推流入口及实时赛事数据面板。根因在于服务端授权缺失及权限边界混乱。建议企业必须实施服务端强制鉴权，严格区分身份认证与授权，并完善外部账号权限隔离与安全披露渠道。

本文档详细介绍了AceDataCloud平台查询API剩余额度的完整流程，包括获取申请ID、创建永久有效的账户令牌，以及通过GET请求查询剩余额度的具体API接口格式。文档提供了curl命令示例及Python、Node.js、Java、PHP等多种编程语言的实现代码，并说明响应结果中remaining\\_amount字段即为剩余额度值。

该文档分析了GeoServer漏洞CVE-2025-52465，指出具有ADMIN权限的用户可利用writeMasterPasswordInfo函数将主密码明文写入任意文件。漏洞可导致两种攻击：通过注入恶意代码到JSP文件实现代码执行，或在Windows系统下利用UNC路径触发SMB认证从而捕获NTLM哈希。文档提供了漏洞复现步骤包括启动GeoServer、构造POST请求及利用Inveigh工具监控哈希。

本文介绍使用DockerBuildx构建多架构Docker镜像的三种方法：租用ARM机器、使用DockerDesktop或通过Hermes配置环境。重点讲解buildx命令参数使用，包括–platform指定架构、–load加载到本地、–push推送到仓库，并详细说明单平台与多平台镜像构建的具体命令示例和注意事项。

CVE-2026-20230披露思科统一通信管理器存在未认证任意文件写入漏洞，攻击者通过组合SSRF漏洞和主机名绕过机制，可写入恶意文件实现远程代码执行。文档详细分析了漏洞链触发路径及配置文件缺陷，并提供了厂商补丁链接和修复建议。

AceDataCloudMCP是一个统一的MCP服务器，将AceDataCloud的账户管理（余额、用量、APIKey、订单、平台Token）与目录文档（服务、API、OpenAPI规范、模型清单、价格、文档检索）封装成AI助手可直接调用的工具。它走管理控制台接口，不生成内容，而是帮助AI查账户、查用量、管Key、查文档、查接口、查价格。用户需使用平台Token连接，支持远程和本地两种方式，提供只读和写操作工具。

XWikiPlatformOldCore存在目录遍历漏洞(CVE-2026-34151)，影响17.10.5以下及18.0.0-rc-1至18.2.0以下版本。攻击者无需认证即可通过双重编码绕过路径校验，读取服务器敏感文件，威胁等级高危。官方已发布修复版本，建议升级至17.10.5或18.2.0及以上版本，并采取临时缓解措施。

XWikiPlatform旧版核心组件存在高危路径遍历漏洞(CVE-2026-34151),攻击者无需认证即可远程读取系统配置、用户凭证哈希等敏感数据。影响全系列低于17.10.5版本。官方建议升级至17.10.5及以上版本,临时措施包括Nginx拦截私有路由和限制公网访问。

启明星辰通报SonicWallSMA1000设备存在严重SSRF漏洞CVE-2026-15409，CVSS满分。该漏洞无需认证且已遭在野利用，攻击者可借此探测内网并获取敏感信息。受影响版本涵盖12.4.3与12.5.0多个构建号，建议相关用户立即升级至12.4.3-03453或12.5.0-02835及以上热修复版本，并加强网络访问控制以收敛攻击面。

奇安信CERT发布SonicWallSMA1000高危SSRF漏洞(CVE-2026-15409)安全通告，该漏洞CVSS评分10.0，PoC和EXP已公开且发现野利用。攻击者可利用WorkPlace界面验证缺陷发起请求，导致敏感信息泄露或内网探测。建议立即升级至安全版本12.4.3-03453或12.5.0-02835，并采取限制访问、部署WAF等缓解措施。

XWikiPlatform存在高危路径遍历漏洞CVE-2026-34151，攻击者可利用Jetty12+特有的URL解码特性，通过双重URL编码序列绕过端点路径限制，读取系统及服务器敏感配置文件导致信息泄露。该漏洞影响多个版本且POC已公开，建议受影响用户尽快访问官网升级至安全版本以修复此风险。

SonicWallSMA1000存在高危代码注入漏洞CVE-2026-15410，攻击者可通过管理接口发送恶意请求执行任意命令。影响多个固件版本，POC已公开，风险极高。建议用户立即升级至官方安全版本以修复漏洞。

PlatformBid是快手联合高校提出的首个平台级自动竞价基准，从统一广告平台视角设计，包含同质、异质和促销三种竞争评估设置。BidFlow方法利用FlowMatching建模多模态竞价分布，通过Q值蒸馏实现高效单步推理。实验表明BidFlow在多个设置下达到最优，并在快手电商广告线上验证有效，实现了0.68%的消耗提升。该工作重新定义了自动竞价评估维度，从单广告主最优转向平台全局共赢。