ZONE.CI 全球网

本周安全热点周报披露多个高危漏洞在野利用情况，重点包括CiscoUnifiedCM漏洞(CVE-2026-20230)补丁发布数周后遭攻击者用于文件写入侦察，SplunkEnterprise未授权文件操作漏洞(CVE-2026-20253)被CISA确认积极利用。同时通报Gogs、Exchange、Squid等5个漏洞风险及伊朗银行瘫痪、塔塔电子数据泄露等安全事件，并提供漏洞修复和系统防护建议。

思科CatalystSD-WAN产品存在高危漏洞CVE-2026-20245，攻击者可获取root权限，该漏洞在公开前已被潜伏利用至少两个月。SD-WAN作为网络核心枢纽，一旦被攻破将导致流量监听、恶意节点植入及下游网络渗透。建议采取补丁修复、入侵检测、设备安全审计等纵深防御措施。

Redis官方于2026年5月5日修复了CVE-2026-23631DarkReplica漏洞，该漏洞存在于7.2.x至8.6.x版本函数引擎的主从复制过程中，因UAF缺陷导致认证后可实现远程代码执行。关键发现包括利用堆喷射控制Lua虚拟机执行系统命令。可操作建议包括升级至安全版本、强化访问控制、网络隔离及降权运行服务。

博通披露了三个影响VMwareCloudFoundationOperations及相关产品的存储型XSS漏洞（CVE-2026-41722/41723/41724），CVSS评分为8.0。攻击者可通过创建策略或小部件注入恶意脚本，在管理员访问时执行未授权操作。漏洞影响多个产品版本，目前仅能通过升级到指定固定版本修复，无变通方案。建议企业优先打补丁并严格管理权限分配。

HuggingFaceTransformers库爆出关键漏洞CVE-2026-4372，攻击者能通过恶意模型配置文件绕过安全控制实现远程代码执行，影响数亿次下载，可导致凭证窃取与内网横向移动。此事件暴露出AI供应链盲目信任模型文件的严重风险。建议用户立即升级至5.3.0及以上版本，审计历史下载模型，监控异常出站流量，并隔离模型执行环境以有效防范此类供应链攻击。

公开的CVE-2026-45504漏洞PoC利用代码针对微软ExchangeServer的SSRF漏洞，攻击者可通过控制WOPI端点返回file://方案URL实现任意文件读取和权限提升。该漏洞影响Exchange2016/2019版本，CVSS评分8.8，微软已于2026年6月9日发布安全更新。建议管理员立即安装补丁，并加强访问控制与异常流量监控。

本文深入分析CORS配置漏洞的两种实战场景：一是受信子域名存在XSS漏洞时攻击者可利用CORS信任关系窃取主站敏感数据；二是HTTPS主站将HTTP子域列入白名单导致安全链路被降维打击。文章强调需从整体信任网络角度审视CORS白名单中每个源的安全状况，为渗透测试人员提供了通过逻辑链挖掘高危漏洞的方法论。

Cloudflare构建了一套不依赖单一AI模型的企业级漏洞发现系统，通过将模型作为可替换组件实现跨模型交叉验证。系统采用两阶段工作流（VDH漏洞发现引擎和VVS验证系统），具备状态外置、持久化存储和跨仓库依赖追踪能力。关键实践包括分阶段控制上下文窗口、使用独立验证模型复核发现、通过wishlist机制实现agent自主资源请求。建议从最小化三阶段harness开始，逐步扩展至多仓库扫描。

CISA于2026年6月25日将影响思科统一通信管理器的关键SSRF漏洞CVE-2026-20230加入已知被利用漏洞目录，该漏洞允许未认证攻击者写入任意文件并升级至根权限，构成严重入侵风险。CISA要求联邦机构在6月28日前完成补丁，并建议组织立即根据思科官方公告实施缓解措施、进行法医分诊并审计日志。

美国国土安全部监察长办公室报告显示，特勤局因政府设备功能不足导致员工普遍使用个人手机执行保护任务，造成严重安全漏洞。报告指出国际任务中设备缺乏威胁防御软件、应用安全测试不足，并在特朗普未遂刺杀事件中暴露风险。监察长提出5项改进建议，特勤局已部分采纳但整改尚未完成。

本文介绍Nuclei作为基于模板的轻量级漏洞扫描工具，拥有7000+官方模板覆盖CVE、渗透测试等多场景。详细说明Kali安装、模板更新命令及多种扫描模式（单目标/批量/静默/分级扫描），重点推荐-as参数自动识别技术栈提升效率。提供模板编写示例和AI生成模板功能，强调其灵活性和易用性适合各层次安全人员。

本文详细解析了任意文件读取与下载漏洞的原理、常见位置及多种绕过防护的方法，包括URL单双编码、双写和空字节绕过等。文章重点结合实战案例阐述Linux系统下的深度利用思路，如通过读取SSH密钥或历史命令寻找源码获取权限，以及利用mlocate.db全文件路径数据库精准定位敏感文件。作者在实际测试中通过二次编码绕过限制，成功下载Redis备份文件并提取大量用户数据，最后给出了限定访问目录等修复建议。

本文详细介绍了消息模板注入漏洞的测试流程与主要危害。该漏洞通常出现在`找回密码`等需要向用户发送通知的功能中，攻击者可通过修改请求包中的可控参数（如cid），注入恶意链接或参数，诱导用户点击后跳转到钓鱼网站，从而窃取账号密码等敏感信息。

该文档分析了CVE-2026-41089漏洞的成因与影响，指出Netlogon服务因字符串长度计算错误导致栈缓冲区溢出，攻击者通过UDP389端口发送特制CLDAP查询可造成域控制器重启。文档详细剖析了攻击载荷结构，并提供了基于FortiGate的应急防护方案：包括更新IPS规则库、配置阻断签名、实施网络层访问控制，并强调最终需安装微软官方补丁彻底消除漏洞。

JFrog在FFmpeg的MagicYUV解码器中发现CVE-2026-8461堆越界写入漏洞，CVSS评分8.8。攻击者可通过恶意视频文件实现任意代码执行，影响Jellyfin、Nextcloud等数百个应用。建议立即升级至FFmpeg8.1.2或使用–disable-decoder=magicyuv编译选项，JFrog官网提供七行补丁代码用于应急防护。

Langflow存在三个严重安全漏洞：CVE-2026-55255允许认证用户通过IDOR漏洞劫持他人流程；CVE-2026-55447通过恶意TAR文件实现任意文件读取和远程代码执行；CVE-2026-55450允许未认证文件上传导致存储耗尽和路径泄露。受影响版本为1.9.1之前存在IDOR和DoS漏洞，1.9.2之前存在文件读取缺陷。建议立即升级至1.9.2及以上版本。

本文详细解析JWT的结构与安全机制，重点分析None算法绕过、算法混淆攻击、KID参数注入（路径遍历/命令执行/SQL注入）及JKU参数劫持等常见漏洞。文档通过具体攻击场景和Python代码示例说明漏洞利用方法，并强调服务端应严格校验算法类型、密钥来源和外部参数，避免依赖客户端可控字段进行安全决策。

Gogs0.14.3版本修复了三个严重的远程代码执行漏洞（CVSS评分9.4-10），包括路径遍历导致的RCE、rebase参数注入和符号链接文件写入漏洞。这些漏洞允许攻击者以git用户身份执行任意命令，影响所有0.14.3之前的版本。建议立即升级至0.14.3版本，临时可禁用开放注册并限制仓库创建权限。

谷歌于2026年6月10日发布Chrome安全更新，修复了Mojo组件整数溢出、Payments和AdFilter组件的释放后使用共三个高危漏洞。这些漏洞可能被恶意网页利用导致内存破坏或代码执行，影响149.0.7827.200/201之前的所有版本。建议用户通过设置中的关于页面立即更新浏览器以降低风险。

ApachePyFory反序列化策略绕过漏洞（CVE-2026-48207）属于高危漏洞，攻击者可通过恶意序列化数据绕过安全策略限制实现远程代码执行。影响版本为0.13.0至1.0.0，目前POC未公开。官方已发布修复版本，建议用户及时升级至安全版本。