赛博安全狗：pH7Builder 旧版本存在硬编码 API 密钥绕过漏洞 (10.12)

赛博安全狗
赛博安全狗

赛博看门狗

2026年10月13日 09:05
浙江

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

[ ROOT @ WATCHDOG ]

全网高价值安全威胁速递。包含高危漏洞、数据泄露与行业重点动态。

2026-10-12 · 7 条

今日重点

1.字节跳动团队分享基于证据链的 Agentic AI 调试方案

2.pH7Builder 旧版本存在硬编码 API 密钥绕过漏洞

3.遮住半张脸仍可能暴露身份

【一】行业和安全动态

行业动态

字节跳动团队分享基于证据链的 Agentic AI 调试方案

字节跳动 STE 团队在 OSFC2026 分享议题，针对 OpenBMC 调试痛点提出 Agentic AI 方案。该方案不直接使用大模型作为事实来源，而是将其作为证据解释器和行动建议生成器。通过程序分析将日志映射为程序足迹，结合调用图与路径重建对比正常与异常路径，识别分叉点和缺失恢复动作，并按因果价值压缩上下文，最终输出可回溯的根本原因分析。文章展望了从 RCA 到自动验证和 CI/CD 回归的闭环路径。

来源：SecurityHub · 10-10 17:00（北京时间）

行业动态

遮住半张脸仍可能暴露身份

文章指出仅用脖套遮住口鼻不足以阻止局部人脸识别，眼睛、额头和发际线仍可能保留可识别特征。文章澄清该视频所属活动是法国陆军2025年9月发起的网络人才招募活动，官方账号「看起来遭到入侵」是活动设计，不能视为国防网络真的被全面攻陷。文章还解释人脸识别算法提取局部特征，眼周在遮挡下仍可能具备区分能力，但识别效果受光线、角度、清晰度、遮挡范围和参考照片质量影响。NIST在2020年末公布的2.4%至5%错误率来自一对一受控比对和数字叠加口罩测试，不能直接外推到开放互联网陌生人检索。文章还区分一对一验证、一对多检索和身份核实三类任务，强调相似候选人不等于确认身份，字幕、姓名、军衔、单位、环境及公开照片可能相互印证。最后提出从遮挡思维转向流程思维，拍摄前判断匿名需求，审核全部衍生内容，图文一起审查，并用真实流程和知情同意样本测试防护效果。

来源：SecurityHub · 10-11 11:26（北京时间）

【二】数据泄露与隐私事件

本期暂无入选条目

【三】焦点漏洞与攻击预警

漏洞与攻击

pH7Builder 旧版本存在硬编码 API 密钥绕过漏洞

安全研究人员披露 pH7Builder（pH7 Social Dating CMS）在 18.6.0 之前的版本中存在硬编码 API 密钥漏洞。该漏洞位于 Tool.class.php 文件中，允许未经身份验证的攻击者通过伪造 Host 头部绕过 API 访问检查。攻击者可发送 Host: localhost 并附带 private\_api\_key=dev772277 和默认允许的 URL，从而检索成员电子邮件、IP 地址、电话号码和银行账户字段。该漏洞严重性评级为 8.7（高危）。

来源：cvefeed · 10-11 23:16（北京时间）

漏洞与攻击

JeecgBoot存在权限绕过漏洞

安全研究人员发现JeecgBoot存在严重漏洞，影响版本至3.9.5。该漏洞位于SysDepartRoleController组件的saveDatarule函数，攻击者通过操纵permissionId/roleId/dataRuleIds参数可导致权限验证缺失。该漏洞被编号为CVE-2026-108871，目前已知可进行远程攻击，但尚未有公开利用代码。

来源：vuldb · 10-11 23:02（北京时间）

漏洞与攻击

Netcore NR268存在严重认证缺陷

Netcore NR268 1.7.121109版本被发现存在非常严重的漏洞，位于CGI Execution组件的user\_ok函数。攻击者通过特定操作可导致 improper authentication（不正确的身份验证）。该漏洞被编号为CVE-2026-108907，攻击者可远程发起攻击，且已存在可利用的漏洞利用程序。厂商在披露早期已收到通知但未回应。

来源：vuldb · 10-11 23:00（北京时间）

漏洞与攻击

JeecgBoot存在权限管理缺陷

JeecgBoot存在严重漏洞，影响版本至3.9.5。该漏洞位于Save Datarule Handler组件的saveDatarule函数，攻击者通过操纵permissionId/roleId/dataRuleIds参数可导致 improper privilege management（不正确的权限管理）。该漏洞被编号为CVE-2026-108870，攻击者可远程发起攻击，目前尚未有公开利用代码。

来源：vuldb · 10-11 23:00（北京时间）

漏洞与攻击

Netcore NR268 1.7.121109存在远程越界读取漏洞

研究人员发现Netcore NR268 1.7.121109设备中的filter\_arp\_put\_file.cgi文件存在严重漏洞，攻击者可通过远程操纵put\_file参数触发越界读取。该漏洞被标记为CVE-2026-108906，目前已有可用的利用程序。

来源：vuldb · 10-11 23:00（北京时间）

• -   -

- 极客视角 · 洞悉暗流 -