本文介绍了AI大模型Web站点在渗透测试中常见的实战漏洞，包括API密钥泄露、XSS漏洞、SSRF漏洞、提示词注入、系统提示词泄露等，并提供了相应的防范措施。文章强调了网络安全的重要性，并警告读者不要非法利用漏洞。

本文记录一次针对教育行业SRC的通杀漏洞挖掘实战，核心为Fastjson1.2.39反序列化漏洞利用。作者通过前端泄露的.map文件获取接口，探测确认后端使用Fastjson且开启AutoType，利用JdbcRowSetImpl链进行JNDI注入实现命令执行。文章详细展示了多种WAF绕过技巧，包括脏数据填充、双重编码命令、二开JNDIExploit工具等，并演示了在低权限下通过修改工具源码读取配置文件。文章最后附有培训课程推广。

美国军方使用的P3GlobalIntel系统泄露约93760条敏感举报线索，涉及多个军种及举报热线系统，举报人匿名承诺落空。相关机构未回应通知问题，应用已下架。事件影响举报系统公信力，责任归属模糊，需加强数据安全防护与透明度。

2026年8月研究者揭示ISO15118即插即充支付的中继攻击，攻击者通过假充电站中继合同证书与签名，实现自己充电他人买单，根源在于签名不含充电站标识，属于车联网安全漏洞。