ZONE.CI 全球网

本周CNVD共收集整理516个信息安全漏洞，其中高危220个、中危229个、低危67个，0day漏洞占比91%。漏洞主要集中在WEB应用（231个）和应用程序（156个）。本周重点关注的厂商漏洞包括MicrosoftEdge及Office、GoogleChrome和Adobe系列产品，部分漏洞可被利用执行代码或提升权限，建议用户及时更新补丁。

文档汇总2026年6月1日至7日CNVD披露的高关注度漏洞，涉及AdobeCommerce路径遍历、ApacheOFBiz代码注入、Chrome内存错误等境外产品，以及台达电子安全绕过、D-Link缓冲区溢出、华为权限控制等境内产品。漏洞可能导致任意代码执行、信息泄露或权限提升，建议用户及时关注厂商补丁更新。

本文介绍BurpMCP服务的实战应用，通过MCP服务让AI直接操作Burp进行漏洞分析，减少人工复核成本。文档详细说明了配置方法、可用工具列表（包括发包、编码、扫描等功能），并分享使用体验表明其在辅助测试和漏洞验证方面效果良好，同时探讨了自动化渗透的潜在应用与挑战。

Webscanner是一款全功能Web漏洞扫描工具，包含23个安全检测模块，涵盖信息收集、HTTP安全头、SSL/TLS配置、敏感信息泄露、CORS、CSRF、SQL注入、XSS、SSRF等常见Web漏洞检测。工具支持自定义扫描模块、代理配置、多种报告输出格式，适用于渗透测试和漏洞评估场景。文档提供了完整的安装命令和参数说明，但强调需在虚拟机环境测试并遵守合法使用原则。

Samba曝出高危远程代码执行漏洞CVE-2026-4480（CVSS9.8），攻击者可通过特制打印任务利用打印子系统命令注入执行任意代码。影响版本为4.1.0-4.22.10、4.23.0-4.23.8、4.24.0-4.24.3，需启用打印服务且配置含%J替换符的printcommand参数。360漏洞研究院已成功复现，建议立即升级至4.22.10/4.23.8/4.24.3或更高版本。

CVE-2025-68613是n8n工作流自动化平台1.121.0版本中的已认证远程代码执行漏洞，攻击者可通过构造恶意工作流表达式调用child\\_process执行系统命令。漏洞利用步骤包括部署漏洞环境、配置注入点、拦截修改请求及建立反向shell，影响涉及敏感数据泄露和服务器控制。建议用户及时升级至安全版本。

文档分析Smartbi权限绕过漏洞，攻击者通过设置恶意EngineAddress并触发token回调获取管理员凭证，详细复现步骤与补丁分析表明需拦截未授权接口访问。建议及时更新补丁并加强访问控制。

微信Linux版存在1-Click命令注入漏洞，攻击者通过构造含恶意命令的文件名，用户点击后可在系统中执行任意命令。影响版本为≤4.1.0.13，目前无官方修复版本，建议避免点击可疑文件并临时使用网页版。漏洞CVSS评分8.8，利用可能性高但未发现野外利用。

文档分析某安全厂商软件存在的DLL侧载漏洞，攻击者通过劫持库libngs实现权限提升。HoneyMyte组织近期更新CoolClient工具并在营销活动中部署窃取程序，建议企业加强DLL加载路径监控和数字签名验证。

文档披露了WeChatforLinux版本存在高危RCE漏洞，攻击者可通过制作特定命名的恶意PDF文件触发任意命令执行。文章成功复现漏洞并给出详细环境配置步骤（安装字体、部署软件）和漏洞利用方法（命令嵌入文件名），但未明确触发机制。该漏洞可直接控制目标服务器，建议用户及时更新防护。

文档记录了一次SRC实战中SSRF漏洞的挖掘过程。作者通过信息收集发现存在url参数的预览接口，利用BurpSuite将参数值设置为外部及内网地址，成功验证SSRF漏洞并实现内网探测。关键发现是此类漏洞常出现于url、file等参数接口，建议使用F12控制台或findsomething工具高效收集接口路径。

本文介绍15款提升BurpSuite漏洞挖掘效率的必备插件及工具链组合，涵盖精准漏洞探测（如FastjsonScan4Burp、SQLiPy）、敏感信息提取（HaE）、高性能爆破（TurboIntruder）和越权检测（AuthAnalyzer）等场景，并提供DirSearch+Xray+Nuclei等工具联动方案与安装技巧，助力安全人员实现高效自动化渗透测试。

本文分享了短信验证码相关的三类高危漏洞实战案例：验证码直接返回前端导致认证失效、验证码可转发至多个手机号、以及4位验证码可爆破重置密码。文档通过具体渗透测试案例演示漏洞发现过程，强调在加密环境下需逆向突破，并提供了漏洞挖掘思路与防护建议。

2026年6月披露的CheckPointVPN身份验证绕过漏洞CVE-2026-50751已被Qilin勒索软件团伙武器化攻击，攻击者利用已弃用IKEv1协议缺陷绕过认证建立VPN会话并部署勒索软件。文档详细分析了漏洞机理、攻击链还原、威胁行为体经济动机归因及基础设施溯源，提供包含紧急补丁更新、协议迁移、威胁狩猎要点的完整防御方案。

奇安信CERT通报GoogleChromeV8引擎存在高危越界读写漏洞(CVE-2026-11645)，该漏洞已发现在野利用，攻击者可通过恶意网页绕过沙箱防护实现远程代码执行。影响ChromeWindows/Mac/Linux多个版本，建议用户立即升级至149.0.7827.102及以上版本以消除安全风险。

Linux内核曝出因单字符写反引发的严重漏洞CVE-2026-23111，导致普通用户可提权至宿主机root并逃逸容器，主流发行版均受影响。补丁已于2026年2月发布，但攻击代码自4月起公开流通。建议立即更新内核并重启，或临时关闭非特权用户命名空间阻断攻击。

Gogs修复一个严重的参数注入零日漏洞，允许认证攻击者远程代码执行并访问所有仓库。影响0.14.2及以下版本，需立即升级至0.14.3。缓解措施包括禁用开放注册、限制仓库创建和审计rebase设置。漏洞类似历史CVE，已存在野外利用案例。

Google于2026年6月发布Chrome149更新修复74个漏洞，包括已被利用的零日漏洞CVE-2026-11645。该漏洞是V8引擎高危越界读/写问题，攻击者可通过恶意页面执行代码。此为2026年第5个被利用的Chrome零日漏洞，Google发现漏洞数量激增可能与AI工具相关并调整了漏洞赏金政策。建议用户及时更新浏览器版本。

腾讯云安全发布2026年5月必修漏洞清单，涵盖cPanel认证绕过、Linux内核DirtyFrag/Fragnesia权限提升、NextChat/ChromaDB/FlowiseAI远程代码执行等8个高危漏洞。清单详细分析漏洞危害、影响版本及在野利用情况，并提供具体修复方案与缓解措施，建议企业优先修复以避免数据泄露、服务器沦陷等风险。

GoogleChromeV8引擎存在高危越界读写漏洞CVE-2026-11645，攻击者可通过特制HTML页面远程执行恶意代码且已发现在野利用。影响版本为ChromeWindows/Mac低于149.0.7827.102/103及Linux低于149.0.7827.102。官方已发布修复版本，建议用户立即更新至最新版。