ZONE.CI 全球网

CVE-2025-62593是Ray框架中的一个严重远程代码执行漏洞(CVSS9.4),影响2.52.0之前的所有版本。攻击者可通过DNS重绑定结合浏览器(User-Agent检查绕过)对本地Ray服务实施攻击,PoC已公开且被CISA列入KEV目录。建议立即升级至Ray2.52.0或更高版本,并避免将控制面板暴露于不受信网络。

GitLab于2026年8月17日发布紧急补丁修复CVE-2026-19478，一个CVSS9.4的GraphQL代码注入漏洞。该漏洞允许未经身份验证的攻击者在特定条件下修改或删除公开项目及用户数据。同批次修复的还有CSRF漏洞CVE-2026-19650。建议自行托管用户立即升级至19.2.4、19.1.6、19.0.8或18.11.11版本。GitLab.com和Dedicated用户无需操作。

WordPress插件ForminatorForms曝出CVSS9.8分预授权远程代码执行漏洞CVE-2026-15748，影响超60万站点。攻击者利用下拉选择字段原样返回嵌套值的特性伪造上传记录，结合黑名单缺陷用ph(p)写法绕过扩展名检测，上传恶意PHP文件实现完全接管。目前无野外利用。建议立即升级至1.56.2版本，排查异常PHP文件并确保自定义上传目录具备.htaccess防护。

CVE-2026-71479是NewAPI开源AIAPI网关中的一个严重整数溢出漏洞(CVSS9.1),允许攻击者通过精心构造的请求将极小余额虚增为巨额。该漏洞影响1.0.0-rc.17及之前版本,已确认存在野外利用。攻击原理是利用无符号整数溢出导致扣费变为负数,从而充值余额。建议立即升级至1.0.0-rc.18或更高版本,并检查日志中是否存在负数消费记录及异常虚增的账户余额。

CVE-2026-66804是Windows跨设备服务中的权限提升漏洞，普通用户可通过创建缺失的ProgramData目录并植入恶意DLL获取SYSTEM权限。PoC已公开，微软已在2026年8月补丁中修复。建议立即安装更新并监控异常DLL文件。

GeoServer存在一个未经身份验证的SQL注入漏洞(CVSS9.8),正被野外利用且PoC已公开。该漏洞存在于jsonArrayContains过滤函数中,影响PostGIS数据存储,可导致数据泄露甚至远程代码执行。建议立即升级至GeoServer2.27.6/2.28.5/3.0.1或GeoTools33.6/34.5/35.1版本,并限制公开访问、使用低权限数据库账户。

奇安信CERT发布高危漏洞通告，PostgreSQL的datetime_to_char\\_body()函数存在堆缓冲区溢出，可导致远程代码执行(CVE-2026-14669)。攻击者需获取数据库认证权限，PoC已公开。影响版本包括14.x至18.x系列。建议立即更新至修复版本或采取临时缓解措施。

本文介绍了DeepSeek开源Agent框架Harness的终端插件dsh-TUI。它通过npx命令启动，提供类似ClaudeCode的交互体验，支持斜杠命令、双击Esc回退分支及长会话渲染优化，底层完全复用Harness能力。建议有Node环境的终端用户尝试安装，但需注意环境配置门槛与上游快速更迭的适配风险，目前更适合作尝鲜工具。

暗网分析师披露了2019年泄露的美国情报机构承包商数据库，包含政府实体和供应商信息，如圣劳伦斯海道开发公司和运输安全管理局的数据。该事件提醒相关机构需加强数据安全防护，检查历史泄露数据是否涉及自身，并采取补救措施。

DockerCopyEscape漏洞(CVE-2026-17106,CVSS7.1)使dockercp命令成为主机文件写入攻击原语,可导致代码执行。攻击利用容器内文件重命名与符号链接替换的竞态条件,绕过路径检查。影响DockerEngine29.7.2前及Desktop4.86.0前版本。建议立即升级至修复版本,临时措施包括复制前停止容器并避免sudo操作。

本文分析了Sorry勒索软件，该变种与TellYouThePass关联，利用RCE漏洞自动化入侵，借助云存储投递载荷。其停止数据库服务后采用RSA与AES混合加密，并生成指纹回传C2。建议企业及时修补漏洞、隔离备份，感染后需立即断网隔离、保留镜像取证并从备份恢复。

OpenAI总裁GregBrockman警告企业CISO需积极引入Agent应对AI攻击能力提升，但该建议被指带有自我推销色彩且缺乏问责。安全专家建议逐步部署Agent并设置爆炸半径限制与可逆操作机制，同时指出整个AI行业面临安全治理与商业化之间的张力。

文档指出AI安全的核心问题并非模型算法，而是AIAgent的身份与访问控制。IBM报告显示92%的AI安全事件源于缺乏访问控制，提示词注入的破坏力取决于Agent权限边界。企业应建立机器身份清单，对AIAgent执行最小权限原则，并将AI模型按核心业务系统保护，以限制攻击影响范围。

本文解析OWASPLLM10无限制消耗风险，指出其核心是通过合法高耗请求导致算力与账单失控。文章拆解算力、金钱、配额与上下文四大消耗面，提供沙箱复现方法，并给出基于速率限制、配额管理与成本监控的四层检测方案及多平台SIEM告警规则。针对误报提出降噪策略，建议通过设定递归深度、Token上限与预算硬护栏进行加固，最后梳理了LLMTop10全链路攻防图谱。

本文介绍了一种基于CLSID劫持和COM对象的Chrome与msedge持久化技术，使用LdrCallEnclave回调及WinHTTP实现载荷加载，声称运行稳定。但文章实质为软文广告，主要推广付费圈子，提供大量免杀工具和红队技术文章，技术细节有限，可操作性低。

文档标题为’为什么不用linux系统’，但内容仅包含图片和阅读提示，未提供具体技术分析或结论。

本文档是一份面向开发者的渗透测试实践笔记，核心内容包含一个可复用的C#工具类PenTestingHelper，覆盖侦察、安全头检查、Cookie标志验证、CSRF保护测试和模糊测试五个环节。文档还提供了安全响应头中间件的配置代码，并对比了安全与脆弱应用的结果。主要结论是开发者可通过集成这些工具和配置来主动发现并修复Web应用中的常见安全缺陷。

本文探讨AI对软件开发的影响，认为AI不是取代开发者，而是提升抽象层级。开发者正从写代码转向定义意图、编排系统、承担责任。实现成本下降使所有权价值上升，系统从确定性走向概率性。建议开发者提升架构决策和系统设计能力，以在更高层级创造价值。

密探2.0是一款基于Rust+Tauri重构的渗透测试工具，集成资产测绘、漏洞检测、云安全等50余项能力，支持断点续扫、聚合测绘、Heapdump分析及小程序反编译等核心功能。工具提供VIP订阅服务，可通过提交BUG、贡献资源或推广活动免费获取。作者强调需在授权下使用，并附有详细的致谢与反馈渠道。

该文档是红客攻防实验室发布的推广文章，宣称免费赠送1000本网络安全电子书，覆盖渗透测试、逆向工程、CTF等多个方向，并附有实战指南。文章通过吸引用户扫描二维码添加好友获取资源，属于典型的软文广告，需警惕个人信息泄露风险。

文档介绍了Nextrap蜜罐市场新增的七个开源蜜罐模板，涵盖个人理财、协作套件、网盘管理、书签管理、HTML校验、数据库文档和Web框架。这些工具强调自托管和数据隐私，适合安全团队部署以模拟真实服务，监控攻击行为。

GB/T15852.2-2024规定MAC值不小于32位，基于四重考量：安全上使瞎猜概率降至十亿分之一；工程上对齐字长与字节边界；延续3G至5G的32位MAC电信惯例；并兼容祖冲之128-EIA3输出。建议将32位仅作合规底线，高价值数据应选96位以上MAC。

本文分析了PHP中trim函数与is_numeric/intval函数在处理formfeed字符(\\\\f,0x0C)时的行为不一致性。trim不将formfeed视为空白字符，而is_numeric和intval则将其视为空白并自动去除。这种不一致性可被利用绕过安全检查，例如在角色验证场景中通过传入包含formfeed的字符串来绕过trim的过滤，同时通过is\\_numeric和intval的检查，最终授予管理员权限。文章提供了具体的代码示例和利用方法，强调了安全审计中需关注此类细节差异

密探2.0是一款用Rust+Tauri重构的渗透测试工具，集成资产测绘、漏洞检测、云安全等50余项功能，支持全平台。核心亮点包括项目级数据管理、聚合测绘、断点续扫、Heapdump分析、小程序反编译及MCPServer。工具提供VIP订阅，可通过提交Bug、贡献资源或推广免费获取。

紫光展锐多个5GSoC平台（T612/T616/T606/T7250）的modem固件存在0day远程代码执行漏洞（CWE-674不受控递归）。攻击者通过蜂窝网络发送特制SIPINVITE消息，利用SDP中acap属性解码函数无递归深度限制触发栈溢出，可在受害modem上执行任意代码。目前官方未发布补丁，建议用户保持固件最新并避免接入不可信网络。