ZONE.CI 全球网

本文分析了NginxUIv2.0.8及以下版本存在的未授权任意文件读取漏洞(CVE-2026-27944)。该漏洞源于备份下载接口/api/backup/download未做认证且未对文件路径进行安全校验，攻击者可通过路径穿越读取系统敏感文件如Nginx配置、SSL私钥、日志等。官方在v2.0.9版本中通过添加JWT认证和路径净化进行了修复，并提供了临时缓解措施。

ApachePyFory反序列化策略绕过漏洞（CVE-2026-48207）属于高危漏洞，攻击者可通过恶意序列化数据绕过安全策略限制实现远程代码执行。影响版本为0.13.0至1.0.0，目前POC未公开。官方已发布修复版本，建议用户及时升级至安全版本。

LiteLLM代理库存在权限提升漏洞CVE-2026-47101，其/key/generate接口未校验allowed\\_routes字段权限，攻击者可通过构造含管理员路由的API密钥将普通用户权限提升至管理员，导致任意代码执行。影响版本为LiteLLM<1.83.14，目前POC已公开，建议升级至官方修复版本。

GopherTrunk是一款纯Go语言开发的集群无线电扫描工具，支持协议全景扫描、深度解码解析、SDR硬件层操作及用户界面交互。项目明确声明仅用于安全研究学习，违规使用需自行承担法律责任。

SwordfishSuite是一款受BurpSuite启发的现代化Web安全测试平台，具备智能拦截代理、集成APP分析、可扩展插件系统、GUI界面操作和流量数据转发等功能。该工具主要用于安全研究与学习，作者声明不承担非授权使用产生的法律责任。项目开源地址为GitHub平台。

CloudX是一款基于MontoyaAPI开发的BurpSuite插件，专门用于处理渗透测试中的加密请求和签名破解。该工具通过可配置规则自动完成解密展示和重加密转发，支持多层嵌套加解密流程（如Base64→AES→RSA）及签名参数表达式控制。需搭配新版BurpSuite使用，项目地址为。

本文详细描述了从配置错误的Grafana实例到发现507个Meta私有代码库的完整渗透测试链条。关键发现包括TLS证书通配符SAN暴露metafb.cloud影子环境、通过JavaScript包解析发现api.haloworld.xyz域、未经认证的GCP令牌端点漏洞，以及由此引发的GCPSecretManager→Vercel令牌→GitHub令牌的权限升级链。该漏洞最终获得15.7万美元赏金，展示了AI驱动侦察与人工判断结合的有效性。

2026年6月，暗网出现疑似从加密货币赌博平台Ubox后端数据库泄露的数据，包含约6万条用户凭证，具体有用户名、邮箱、MD5哈希密码、UboxID及备注，其中MD5哈希存在复用现象且部分邮箱为临时地址，暴露了该平台数据存储安全风险。

CISA将Linux内核漏洞CVE-2022-0492列入已知被利用漏洞目录，该漏洞属于cgroupsv1release\\_agent功能的不当身份验证问题，允许攻击者提升权限并突破容器环境。漏洞在云原生环境中风险显著，CISA要求联邦机构于2026年6月5日前修复。建议组织及时更新内核、限制非特权命名空间访问，并监控cgroup相关异常活动。

印度塔塔电子代工厂遭WorldLeaks黑客组织入侵，导致20.4万份共630GB涉密文件泄露至暗网。泄露内容包含苹果iPhone电路板检测标准、特斯拉供应链资料及员工护照等敏感信息。塔塔电子表示生产线未受影响，已启动应急机制并联合第三方追溯攻击源头。

本文深入分析云上元数据服务的安全风险，以CapitalOne数据泄露事件为例说明攻击者如何通过SSRF漏洞获取角色临时凭证实施数据窃取。详细解析从凭证获取、权限判断到实例控制、横向移动的完整攻击链，并介绍AWS的IMDSv2安全改进方案。最后指出即使采用IMDSv2，在RCE漏洞场景下元数据服务仍存在安全隐患，建议云用户加强实例安全防护。

看雪学苑推出系统0day安全课程，聚焦主流企业防火墙漏洞挖掘。课程涵盖Fortinet、Cisco等10+厂商，详解30+高危漏洞，并引入自研LangGraph工作流实现半自动化挖掘，旨在培养学员独立挖掘0day、漏洞利用及自动化提效能力。

微软WinRE环境存在漏洞CVE-2026-45585，允许攻击者通过滥用UEFIBootNext变量绕过固件密码保护，在物理访问场景下可操纵系统配置或削弱BitLocker防护。微软建议禁用或限制WinRE、强化BitLocker配置（如启用TPM+PIN）并限制对NVRAM变量的未授权更改。

苹果公司于2026年6月16日发布Beats固件更新1B211，修复BeatsStudioBuds蓝牙耳机中的一个高危漏洞CVE-2025-20701。该漏洞存在于蓝牙协议栈中，允许附近攻击者在设备配对前通过麦克风窃听，无需用户同意或触发警报。用户应确认设备固件版本已更新至1B211或更高版本。

开源网络论坛phpbb修复一个潜伏十年的身份验证绕过漏洞，影响3.3.16及以下版本和4.0.0-a2版本，攻击者可利用该漏洞以任意用户身份登录获取管理员权限，建议受影响版本立即升级至3.3.17或master分支。

安全研究人员披露了VSCode零日漏洞利用代码，攻击者可通过恶意扩展程序利用Webview消息传递系统窃取GitHubOAuth令牌，从而访问用户所有私有仓库。目前暂无官方补丁，但用户可通过清除浏览器中github.dev的Cookie和站点数据缓解风险。微软表示已缓解该问题，但研究员因过往与MSRC的不愉快经历选择直接公开披露。

暗网出现名为'欧洲CEO数据库'的售卖帖，声称包含超过6.5万条欧洲企业高管信息，涵盖CEO姓名、职务、公司基本信息、联系方式及地址等字段。该数据集以Excel、CSV和JSON格式出售，可能被用于商业营销或恶意目的，提醒企业加强数据保护意识。

2026年6月，Socket安全团队披露黑客利用GitHub上postinstall自动安装脚本发起供应链攻击，污染超700个代码库。攻击者修改上游package.json脚本，依赖安装时自动执行并下载伪装成/tmp/.sshd的恶意木马以窃取信息。建议开发者勿盲目信任第三方依赖，定期审计自动执行脚本及包管理器配置以降低风险。

国家安全部警告境外间谍正以有偿兼职为诱饵，网络勾连境内人员赴军事科技展会拍摄照片或测量设备数据。看似零散的公开信息经专业整合后可推导出国家核心机密。建议公众提高警惕，切勿因贪图小利而落入间谍陷阱，发现可疑情况应及时举报。

本文介绍了开源SQL注入工具sqlmap的功能与架构。该工具支持自动检测多种注入点，涵盖布尔及时间盲注等技术，兼容三十余种数据库，具备文件读写与命令执行能力。文章剖析了其模块化设计、插件机制及绕过WAF的tamper脚本。文末含大量会员站点广告，整体为工具基础科普与软文推广，缺乏深度技术洞见。

该文档报道了2026年第四届京麒CTF挑战赛初赛情况，北京理工大学BITs2Net战队获得全国初赛第二名。赛事由京东安全主办、Nu1LTeam协办，面向高校学生旨在提升网络安全实战能力。文档包含赛事简介、战队介绍及决赛安排信息，并提供了比赛Writeup的技术分析资料下载链接。

文档分析商业位置数据被用于定位美军人员的案例，揭示手机应用、广告系统通过数据经纪商聚合轨迹信息的安全风险。关键发现包括Strava热力图暴露军事设施、Polar健身应用推断敏感人员身份等结构性漏洞。可操作建议指出需将数字行为管理纳入安全制度，并参考美国司法部对批量地理位置数据的管控措施。

OpenAI推出封锁模式与高风险标签以防范提示词注入导致的数据外泄。该模式通过禁用实时联网、代理模式等外发网络请求功能，从出口端阻断敏感数据传出。此方案适合处理高敏感信息的组织，但无法阻止恶意载荷进入模型上下文，属于牺牲部分能力换取外泄风险降低的折中策略，建议高安全需求场景按需开启。

本文介绍如何使用火山引擎ArkCLI工具查询CodingPlan用量，包括安装ark-cli、SSO登录、连接AIAgent技能的方法，并提供Python脚本对原始JSON输出进行可视化处理，展示用量百分比、剩余额度及重置时间等信息。作者实测GLM-5.2单轮对话消耗9.6%额度，并分享了多账号轮换使用的经验。