ZONE.CI 全球网

OPPO安全中心OSRC宣布自2026年7月2日起暂停收录O+ConnectPC端新漏洞，因该模块业务架构升级需进行安全加固。暂停前已提交的漏洞将正常处理。若发现严重漏洞（如在野利用、远程代码执行或重大数据泄露），可邮件至[email protected]启动应急响应。加固完成后将重新开放收录，具体时间关注后续公告。

2026年7月2日，基础软硬件产品漏洞生态联盟在北京召开专题会议，聚焦AI浪潮下的安全漏洞治理，旨在搭建产业合作桥梁并提升漏洞治理能力。会议汇集联盟成员、行业主管、科研院校、安全企业及白帽子等百余嘉宾，分享AI驱动漏洞发现、漏洞管理、自动化研究等进展，剖析供应链与研发架构痛点，并发布《树立正确网络漏洞治理理念倡议书》，推动基础软硬件漏洞生态建设与关键信息基础设施防护。

奇安信CERT披露Giteaact\\_runner容器逃逸漏洞CVE-2026-58053，CVSS评分9.9。漏洞源于组件将workflow配置直接传给Docker，攻击者能借此在非特权模式下逃逸至宿主机获取root权限，影响act\\_runner小于等于0.262.0版本。建议升级Gitea至v1.27.0-rc0修复，临时可限制workflow修改权限、启用PR手动审批及网络隔离。

文章展示了利用AI工具（如Codex和Claude）对JeecgBoot项目进行代码审计，发现并验证了命令执行漏洞的过程。作者指出AI能有效发现漏洞，但漏洞可能已被修复或公开。关键发现包括JeecgBoot3.8.3版本的debug远程命令执行漏洞，以及最新版本3.9.2中通过AiragMcpController的saveAndSync接口存在的命令执行漏洞。文章强调AI降低了攻击门槛，安全工程师需提升防御能力以应对挑战。

GSDK安全团队发布Unauth-Vuln-Scanner未授权漏洞检测工具，基于JavaSwing开发，支持批量目标、并发扫描、SOCKS5代理及CSV导出。工具可探测Redis、MongoDB、Elasticsearch等39+常见未授权服务，并具备指纹识别功能。工具仅供安全研究学习使用，使用者需承担全部法律责任。

Cisco披露ClamAV存在多个高危漏洞，攻击者可通过构造恶意文件触发扫描服务崩溃，导致拒绝服务。漏洞影响Windows、Linux和macOS平台，Windows端风险最高。官方建议企业及时升级修复版本，无临时缓解方案。

Citrix于2026年7月2日发布安全更新，修复NetScalerADC和Gateway中的六个漏洞，包括CVE-2026-8451等，这些漏洞可导致任意文件读取或拒绝服务。漏洞CVSS评分最高8.8，影响配置为SAMLIDP、Gateway或特定负载均衡的设备。建议用户立即升级至14.1-72.61等修复版本，并针对CVE-2026-13474手动设置Http2SmallWndTimeout参数为30秒。目前无在野利用证据，但Citrix设备常被攻击者利用，需尽快修补。

CatoAILabs在CursorIDE中发现两个严重RCE漏洞(CVE-2026-50548和CVE-2026-50549,统称DuneSlide,CVSS9.8)。漏洞通过提示词注入触发,无需用户交互即可完全攻破沙箱,危害本地计算机及SaaS工作空间。攻击者可利用工作目录操纵或符号链接绕过覆盖关键系统文件实现远程代码执行。建议用户关注官方更新并加强输入验证。

谷歌发布Chrome151稳定版更新，修复382个安全漏洞，其中15个为高危漏洞，可导致远程代码执行。所有低于151版本的Chrome及基于Chromium内核的浏览器用户均面临风险。建议用户立即通过浏览器设置检查并更新，以防范潜在入侵和数据窃取。

Giteaact_runner存在高危容器逃逸漏洞CVE-2026-58053。漏洞源于container.options参数未有效过滤，攻击者可通过提交恶意工作流文件注入危险Docker启动参数（如–pid=host、–cap-add=ALL），结合nsenter工具实现容器逃逸，完全控制宿主机。建议立即升级act_runner至最新版本，或采取限制工作流权限、收紧Runner权限等临时缓解措施，并排查入侵痕迹。

Poweradmin存在Host头注入漏洞CVE-2026-54588，CVSS评分9.6。因其登录未验证HTTPHost头，攻击者可篡改认证回调地址窃取授权码，接管DNS账户，导致邮件劫持与证书窃取。暂无公开PoC。建议立即升级至4.2.4或4.3.3，或在配置中指定基础URL缓解风险。

本文介绍了OSS存储桶遍历漏洞自动化利用工具OSSFileBrowse，该工具基于javafx图形界面与kkFileView接口实现文件在线预览，便于安全测试时直观展示漏洞危害。然而文章后半段实质为付费知识星球引流软文，大量罗列免杀与红队工具，技术干货匮乏。

本文介绍src-hunter-skill工具库，面向SRC众测与漏洞赏金场景，整合数千份HackerOne和乌云公开案例，包含19类漏洞攻防手册、305组结构化Payload及WAF/EDR绕过方案。工具遵循标准化流程，支持MCP工具联动，强调合规操作并设定严格红线，如禁止数据全量拉取、使用自建账号测试、不执行副作用动作等。用户可通过ClaudeCode插件市场或Git安装使用。

本文详解越权访问漏洞在金融行业业务系统中的表现、成因与防御方案。核心观点是越权漏洞本质在于服务端未校验操作者对操作对象的访问权限，分为水平越权、垂直越权和未授权访问三类。文章通过银行存单比喻帮助理解，并逐一拆解了账户查询、交易记录、信贷审批等六大高发业务场景中的漏洞表现与攻击链路。最后提供了按业务模块分类的高发功能点清单，强调越权漏洞是银行系统中最常见且最易被忽视的高危风险。

AutoCVE是一个Agent驱动的自动化CVE发现平台，实现从项目筛选、源码审计、漏洞验证到CVE报告生成的全流程自动化。其核心能力包括一键式流水线、Multi-Agent协同审计机制、三种审计模式（增强扫描、智能审计、综合审计）以及专用FindingAgent。平台支持交互式审计与全流程追踪，并具备智能漏洞管理与Skills扩展功能。在测试中，AutoCVE共发现并提交了30个安全漏洞，用户可通过GitHub获取。

该文档介绍了一款针对若依Vue系统的自动化漏洞检测工具，支持扫描Swagger泄露、Druid未授权、文件读取、SQL注入、定时任务读取、密码修改及接口越权等漏洞。工具还提供JS接口爬取、批量接口测试和敏感信息搜集等辅助功能，具备多线程并发、代理支持和SSL忽略等特性。建议安全测试人员使用该工具进行若依系统的安全评估。

本文为目录遍历漏洞绕过技术指南，介绍四种绕过防护的实战方法：嵌套序列迷惑过滤器、URL编码绕过、合法路径越狱及空字节截断。文章强调技术仅用于授权测试，严禁非法使用，并提醒遵守网络安全法。内容包含具体参数示例，适合安全研究人员参考。

Gogs存在高危路径遍历漏洞CVE-2026-52813，影响版本低于0.14.3。攻击者可通过构造恶意组织名称绕过校验，将仓库写入预期目录外并篡改GitHooks脚本执行任意命令。POC已公开，官方已发布修复版本，建议用户立即升级至0.14.3。

Adobe已为ColdFusion和CampaignClassic发布安全更新，修复了多个严重漏洞，其中包括七个CVSS评分为10.0的最高严重性漏洞。这些漏洞可能允许攻击者执行任意代码、提升权限、读取敏感文件或绕过安全防护。Adobe强烈建议客户尽快应用更新以降低风险，目前尚未发现这些漏洞被积极利用的证据。

Synacktiv发现ArgoCDrepo-server组件存在未认证RCE漏洞，可导致整个Kubernetes集群被攻陷。文章详细介绍了利用CodeQL进行静态分析发现漏洞的过程，包括自定义RemoteFlowSource以增强污点跟踪，并描述了从漏洞利用到获取集群控制权的完整攻击链。建议用户立即升级ArgoCD版本并实施网络隔离等缓解措施。