ZONE.CI 全球网

Citrix于2026年7月2日发布安全更新，修复NetScalerADC和Gateway中的六个漏洞，包括CVE-2026-8451等，这些漏洞可导致任意文件读取或拒绝服务。漏洞CVSS评分最高8.8，影响配置为SAMLIDP、Gateway或特定负载均衡的设备。建议用户立即升级至14.1-72.61等修复版本，并针对CVE-2026-13474手动设置Http2SmallWndTimeout参数为30秒。目前无在野利用证据，但Citrix设备常被攻击者利用，需尽快修补。

CatoAILabs在CursorIDE中发现两个严重RCE漏洞(CVE-2026-50548和CVE-2026-50549,统称DuneSlide,CVSS9.8)。漏洞通过提示词注入触发,无需用户交互即可完全攻破沙箱,危害本地计算机及SaaS工作空间。攻击者可利用工作目录操纵或符号链接绕过覆盖关键系统文件实现远程代码执行。建议用户关注官方更新并加强输入验证。

谷歌发布Chrome151稳定版更新，修复382个安全漏洞，其中15个为高危漏洞，可导致远程代码执行。所有低于151版本的Chrome及基于Chromium内核的浏览器用户均面临风险。建议用户立即通过浏览器设置检查并更新，以防范潜在入侵和数据窃取。

Giteaact_runner存在高危容器逃逸漏洞CVE-2026-58053。漏洞源于container.options参数未有效过滤，攻击者可通过提交恶意工作流文件注入危险Docker启动参数（如–pid=host、–cap-add=ALL），结合nsenter工具实现容器逃逸，完全控制宿主机。建议立即升级act_runner至最新版本，或采取限制工作流权限、收紧Runner权限等临时缓解措施，并排查入侵痕迹。

Poweradmin存在Host头注入漏洞CVE-2026-54588，CVSS评分9.6。因其登录未验证HTTPHost头，攻击者可篡改认证回调地址窃取授权码，接管DNS账户，导致邮件劫持与证书窃取。暂无公开PoC。建议立即升级至4.2.4或4.3.3，或在配置中指定基础URL缓解风险。

本文介绍了OSS存储桶遍历漏洞自动化利用工具OSSFileBrowse，该工具基于javafx图形界面与kkFileView接口实现文件在线预览，便于安全测试时直观展示漏洞危害。然而文章后半段实质为付费知识星球引流软文，大量罗列免杀与红队工具，技术干货匮乏。

本文介绍src-hunter-skill工具库，面向SRC众测与漏洞赏金场景，整合数千份HackerOne和乌云公开案例，包含19类漏洞攻防手册、305组结构化Payload及WAF/EDR绕过方案。工具遵循标准化流程，支持MCP工具联动，强调合规操作并设定严格红线，如禁止数据全量拉取、使用自建账号测试、不执行副作用动作等。用户可通过ClaudeCode插件市场或Git安装使用。

本文详解越权访问漏洞在金融行业业务系统中的表现、成因与防御方案。核心观点是越权漏洞本质在于服务端未校验操作者对操作对象的访问权限，分为水平越权、垂直越权和未授权访问三类。文章通过银行存单比喻帮助理解，并逐一拆解了账户查询、交易记录、信贷审批等六大高发业务场景中的漏洞表现与攻击链路。最后提供了按业务模块分类的高发功能点清单，强调越权漏洞是银行系统中最常见且最易被忽视的高危风险。

AutoCVE是一个Agent驱动的自动化CVE发现平台，实现从项目筛选、源码审计、漏洞验证到CVE报告生成的全流程自动化。其核心能力包括一键式流水线、Multi-Agent协同审计机制、三种审计模式（增强扫描、智能审计、综合审计）以及专用FindingAgent。平台支持交互式审计与全流程追踪，并具备智能漏洞管理与Skills扩展功能。在测试中，AutoCVE共发现并提交了30个安全漏洞，用户可通过GitHub获取。

该文档介绍了一款针对若依Vue系统的自动化漏洞检测工具，支持扫描Swagger泄露、Druid未授权、文件读取、SQL注入、定时任务读取、密码修改及接口越权等漏洞。工具还提供JS接口爬取、批量接口测试和敏感信息搜集等辅助功能，具备多线程并发、代理支持和SSL忽略等特性。建议安全测试人员使用该工具进行若依系统的安全评估。

本文为目录遍历漏洞绕过技术指南，介绍四种绕过防护的实战方法：嵌套序列迷惑过滤器、URL编码绕过、合法路径越狱及空字节截断。文章强调技术仅用于授权测试，严禁非法使用，并提醒遵守网络安全法。内容包含具体参数示例，适合安全研究人员参考。

Gogs存在高危路径遍历漏洞CVE-2026-52813，影响版本低于0.14.3。攻击者可通过构造恶意组织名称绕过校验，将仓库写入预期目录外并篡改GitHooks脚本执行任意命令。POC已公开，官方已发布修复版本，建议用户立即升级至0.14.3。

Adobe已为ColdFusion和CampaignClassic发布安全更新，修复了多个严重漏洞，其中包括七个CVSS评分为10.0的最高严重性漏洞。这些漏洞可能允许攻击者执行任意代码、提升权限、读取敏感文件或绕过安全防护。Adobe强烈建议客户尽快应用更新以降低风险，目前尚未发现这些漏洞被积极利用的证据。

Synacktiv发现ArgoCDrepo-server组件存在未认证RCE漏洞，可导致整个Kubernetes集群被攻陷。文章详细介绍了利用CodeQL进行静态分析发现漏洞的过程，包括自定义RemoteFlowSource以增强污点跟踪，并描述了从漏洞利用到获取集群控制权的完整攻击链。建议用户立即升级ArgoCD版本并实施网络隔离等缓解措施。

CISA于2026年6月30日发布StoneFly存储集中器漏洞公告，其中两个CVSS满分10.0漏洞允许未经身份验证的攻击者以root权限执行命令，影响能源、医疗等行业。漏洞包括命令注入、SQL注入、硬编码凭据和反射型XSS。建议升级至8.0.4.29版本，限制网络访问并轮换凭据。

本文通过实验对比四种漏洞发现方法，证明本地AI模型结合自定义框架能有效发现其他工具漏掉的漏洞。作者以PHPIPAM认证型LFI(CVE-2026-12194)为基准，测试了Semgrep、GLM5.1自动化工具、云端SOTA加代码审查技能以及本地AI加自定义框架四种方法，仅本地AI方法每次成功发现漏洞。该方法通过逐个文件审查代码库，消耗约1.2亿tokens，并成功发现myVesta认证型RCE(CVE-2026-12195)。文章指出框架比模型更重要，但该方法存在token消耗大、误报多、缺乏威胁模型理

本文介绍安全RAG工具Preview，旨在解决安全研究中的信息差问题。它索引大量安全Writeup，支持自然语言检索，让研究员快速获取漏洞解法，避免重复劳动。Preview强调实时性，弥补大模型知识时差，提供原始链接和段落确保可验证。API设计简洁，支持与AIAgent集成，覆盖XSS、CSP等客户端安全领域，有免费额度。核心价值是放大人类能力，而非替代。

本文介绍了2026年漏洞赏金侦察的完整流程，涵盖域名情报、子域名发现、主动探测、指纹识别、爬取、漏洞扫描及特定漏洞检查等七个阶段。文章强调工具更新但方法论不变，推荐使用Subfinder、Amass、Katana、Nuclei等工具，并引入AI驱动的工作流如ReconGPT和DNSGen。核心要点是找到更多资产、测试更多端点并串联漏洞以获取赏金。

新型ChocoPoC远程控制木马通过伪装成热门漏洞PoC的GitHub仓库传播，专门针对安全研究人员。恶意代码隐藏在Python依赖包中，运行后窃取浏览器密码、SSH密钥等敏感数据并实现远程控制。建议在隔离环境运行PoC，检查依赖文件，优先选择可信来源，并监控异常网络行为。

本文推介安恒恒脑AI代码审计智能体在攻防演练中的应用。文章强调防守方需提前排查业务代码潜在漏洞，建议演练前采用公有云快速完成代码自查与修复，演练中通过私有化部署结合漏洞情报进行复现验证与影响研判，以辅助运营团队确认风险并实施加固，实现风险前置。