OFCMS系统存在SQL注入漏洞，编号CVE-2026-10193，危险等级为高危。漏洞位于/ofcms\\_admin/admin/comn/service/query.json接口，经身份验证的攻击者可利用该漏洞获取数据库敏感信息。影响版本为OFCMS1.1.3，POC已公开。建议用户升级至官方修复版本，以规避风险。

本文分享了AI智能化渗透的实践经验，指出渗透测试作为开放性问题缺乏Coding的Harness，核心难点在于生态缺失。提出L2-L4分级架构，强调正交原则，将数据、经验、基础设施与模型解耦。通过GraphRAG、AgenticTool及自然语言交互机制，实现从辅助到自主的演进，主张减少工程约束以释放模型能力。

本文介绍Yakit工具中隐藏的codecflow功能，用户可拖拽加密逻辑保存后，在WebFuzz中通过{{codecflow(名称|字典)}}直接调用，支持标签嵌套，可满足80%场景，省去编写热加载的时间。文末附有HVV招聘广告。

本文记录一次攻防实战过程，入口点为viewstate反序列化，利用工具获取shell并植入冰蝎码，通过suo5建立正向代理。后续进行免杀处理并重构fscan进行信息收集，在C段发现weblogic反序列化漏洞，B段通过mssql进行横向移动，10段入口为shiro反序列化。文章展示了完整的渗透测试流程，包括信息收集、漏洞利用、横向移动等关键步骤，对红队实战具有参考价值。