ZONE.CI 全球网

Next.js在Windows环境下存在高危路径遍历漏洞CVE-2026-75604（CVSS9.0），影响13.4至15.5.23及16.0至16.3.2版本。当应用同时使用PagesRouter与AppRouter且未启用CacheComponents时，攻击者可通过路径遍历获取ServerAction加密密钥，伪造请求实现未认证远程代码执行。目前POC和EXP已公开但未见在野利用，建议立即升级至15.5.24或16.3.3及以上版本。

Nacos3.0.0至3.2.3版本存在权限绕过漏洞，攻击者可绕过登录限制获取系统最高管理权限。官方已发布3.2.4修复版本，建议立即升级或对互联网暴露系统进行下线处理。

JeecgBoot积木报表存在远程代码执行漏洞，编号QVD-2026-56805，已成功复现。该漏洞影响autoexport功能，攻击者可利用其执行任意代码。建议相关用户尽快升级至安全版本，并关注官方安全公告。参考奇安信CERT漏洞通告，本地环境已验证漏洞真实性。

长亭安全应急响应中心披露JimuReport存在未授权远程代码执行漏洞，影响JimuReport2.5.0及以下版本与JeecgBoot3.9.3及以下版本。攻击者无需认证即可利用自动导出功能注入恶意表达式执行任意系统命令，可能导致服务器控制与数据泄露。官方已发布修复版本，建议用户立即升级至JimuReport2.5.1或JeecgBoot3.9.5，并可在网关或WAF层对相关接口增加强制认证作为临时缓解措施。

奇安信CERT通告JeecgBoot积木报表autoexport接口存在未授权远程代码执行漏洞QVD-2026-56805，CVSS评分9.8高危，影响万级资产。漏洞源于参数值以等号开头时被表达式引擎按Excel公式解析，底层具备Groovy脚本能力且未过滤，攻击者可远程执行任意命令。建议升级JimuReport至2.5.1，并配置防护规则拦截恶意请求及收敛匿名放行。

本文披露新中新中小学智慧校园信息管理系统PSE存在任意文件上传漏洞，攻击者可获取服务器权限。文章提供FOFA搜索语句、具体上传payload及批量检测POC代码，并附免责声明强调需授权测试。内容具可操作性，但含公众号推广信息。

PostgreSQL核心服务器组件存在高危堆缓冲区溢出漏洞CVE-2026-14669，CVSS评分8.8，低权限认证用户可利用超长时区缩写通过to\\_char函数触发堆溢出实现远程代码执行。360漏洞研究院已成功复现并公开利用代码。受影响版本涵盖PostgreSQL14至18多个系列，建议用户立即升级至修复版本18.5、17.11、16.15、15.19、14.24及以上，并关注360产品检测规则更新。

JeecgBoot内置JimuReport组件auto/export接口存在未授权远程代码执行漏洞，参数值以=开头时被内部表达式引擎按Excel公式解析，该引擎具备Groovy脚本能力且无过滤，可执行任意命令。文章提供了资产收集方法及POST请求复现POC，建议相关系统尽快排查修复。

本文介绍利用Workbuddy配合Skill技能库自动化测试短信验证码复用漏洞的完整流程，包括接口收集、自动化探测、人工复现验证、根因分析与修复方案，并强调合规测试要求。核心发现是验证码使用后未失效导致可重复登录，修复方案包括使用即销毁、有效期限制、请求频率限制和异常检测。

GitLabCE/EE存在严重RCE漏洞CVE-2026-97229，CVSS评分10.0，源于CI/CD正则表达式编译器整数溢出，攻击者利用恶意配置可远程执行代码。影响19.2至19.4多个版本，360已复现。建议立即升级至19.2.8、19.3.5或19.4.2及以上版本，并关注360产品规则更新。

GitLabCE/EE存在CVE-2026-97229远程代码执行漏洞，源于CI/CD正则表达式编译器整数溢出，攻击者可无凭据远程触发，以git账号执行任意命令，可能导致服务器被控制及源码凭据泄露。影响19.2至19.4多个版本，官方已发布修复版本，建议用户尽快升级，并可通过限制匿名访问等临时措施缓解风险。

奇安信CERT发布GitLab正则表达式编译器未授权远程代码执行漏洞(CVE-2026-97229)通告，CVSS评分9.9，影响十万级资产。攻击者可借CI/CD配置链路未授权执行任意代码，PoC已公开。建议升级至19.2.8、19.3.5、19.4.2及以上版本，并采取收缩暴露面、审计令牌等临时缓解措施。

该文档披露了atlassian存在任意文件读取漏洞CVE-2026-21589，影响范围包括atlassian产品。提供了FOFA空间测绘语法、GET请求POC路径及nuclei检测模板，建议联系厂商打补丁或升级版本，并增加WAF防护。内容为漏洞复现与修复建议，可操作性较强。

搜狗输入法Windows版存在高危远程代码执行漏洞(CVE-2026-51990)，影响千万级用户，CVSS评分8.8。漏洞源于sgbiz协议处理器参数验证不足，可被利用部署GRAYRABBIT后门，已发现在野利用。建议用户立即升级至16.3.0.3498或更高版本，并可通过删除注册表项临时缓解风险。

IvantiConnectSecure企业级安全远程访问网关存在命令执行漏洞，攻击者可远程利用该漏洞执行任意命令，影响22.8系列和25.1早期版本，已发布补丁。

大华智慧园区综合管理平台存在SQL注入漏洞，攻击者可获取数据库信息或权限，建议厂商打补丁或升级版本并增加WAF防护。

安恒信息CERT发布GitLab远程代码执行漏洞CVE-2026-97229预警，CVSS评分10.0，影响GitLabCE/EE19.2至19.4多个版本，攻击者可通过特制CI/CD配置在服务端执行任意代码。官方已发布修复版本，建议升级至19.4.2、19.3.5或19.2.8及以上，升级前可采取临时缓解措施限制公开项目写入和未认证访问。

西部数码nas的login\\_mgr.cgi存在命令执行漏洞，攻击者可获取系统权限。影响范围为西部数码nas，已提供poc复现方法，建议联系厂商打补丁或升级版本，并增加web应用防火墙防护。

搜狗输入法Windows版存在高危远程代码执行漏洞CVE-2026-51990，源于sgbiz协议处理器参数验证不足，可被利用加载恶意页面并部署GRAYRABBIT后门，影响千万级用户且已在野利用。建议升级至16.3.0.3498或更高版本，或通过注册表删除sgbiz协议处理器作为临时缓解措施。

该文档披露CRMEB系统image\\_base64接口存在SSRF漏洞，未授权攻击者可构造恶意请求探测内网，严重可致服务器被控。影响范围为CRMEB全版本，提供Fofa空间测绘语法及Nuclei检测模板，建议联系厂商升级补丁并部署WAF防护。