ZONE.CI 全球网

2026年7月13日高危漏洞速报披露5个严重漏洞：BeyondTrust远程管理平台预认证绕过(CVSS9.8)、JoomlaBalbooaForms未认证文件上传RCE(CVSS10.0在野利用)、CogneeAI平台未认证LLM配置覆盖窃取数据(CVSS9.3)、HPLIP打印驱动整数溢出补丁绕过(CVSS9.8影响所有Linux发行版)、FlowiseAI工作流硬编码JWT密钥认证绕过(CVSS9.8)。建议安全团队立即按优先级修复，包括升级补丁、限制网络访问、审计日志等。

研究人员披露OpenClawAI助手中三个高严重性漏洞（GHSA-hjr6-g723-hmfm、GHSA-9969-8g9h-rxwm、GHSA-575v-8hfq-m3mc），包括操作系统命令注入和路径遍历，可被利用通过WhatsApp消息触发主机代码执行、凭证盗窃和权限升级。漏洞已在2026.6.6版本修复，建议更新并启用沙箱模式、限制工具允许列表。

对9695个MCP服务器的大规模分析发现5832个存在安全问题，包括任意文件访问、命令注入、SSRF、SQL注入等漏洞。研究指出受欢迎程度、代码活跃度和验证徽章等常用可信指标与安全性无显著相关，高人气服务器反而风险更大。组织应放弃信任假设，采用零信任方法，进行代码审计、强制身份验证和输入验证，以防范AI供应链系统性风险。

ModSecurity3.0.15及以下版本存在两个可绕过WAF规则的漏洞。CVE-2026-52761因32位系统指针计算错误导致转换异常，建议脱离i386环境。CVE-2026-52747为高危漏洞，其multipart解析器会静默剥离表单换行符，造成WAF与后端解析差异，可被用于多行注入绕过。建议立即升级至3.0.16版本修复风险。

本文分析了一个AI系统中的XSS漏洞，提供了技术细节和演示链接，强调仅供技术研究，严禁非法攻击。

国家信息安全漏洞库（CNNVD）发布2026年第十期AI漏洞通报，统计周期内共收录208个AI类安全漏洞，其中包含32个超危风险、92个高危风险和84个中危风险。这些漏洞主要集中在输入验证错误、授权访问控制失效等方面，覆盖了FlowiseAI、Microsoft、IBM等主流AI平台。此外，欧洲议会通过法案要求聊天平台部署CSAM扫描机制；AWS开源了ERP智能体框架并强调`默认拒绝`的安全原则；美国国家安全局也已恢复其核心网络攻击部门的编制。

dddd1.8.3版本优化了POC自动关联与指纹检测流程，通过建立全量索引、指纹归一化处理、增强别名能力及集成最新POC模板库，显著减少了漏检并提升了多命名产品的匹配效率。用户可直接使用新版本，无需额外配置。

Binarly团队在u-boot引导加载程序中发现6个高危漏洞，影响数百万嵌入式设备。漏洞位于FIT镜像校验阶段，2个可导致任意代码执行，4个可导致拒绝服务。受影响代码自v2013.07版本起存在。建议厂商尽快通过固件更新部署补丁。

Zimbra发布10.1.19版本修复其经典版网页客户端中的一个高危存储型XSS漏洞，该漏洞由谷歌威胁分析小组发现，攻击者可通过特制邮件在用户打开时执行恶意代码，进而窃取邮箱信息、会话数据和账户设置。鉴于近期APT28等组织曾利用类似ZimbraXSS漏洞对乌克兰机构发起攻击并长期窃取敏感数据，且CISA已将多个Zimbra漏洞列入KEV目录，强烈建议所有使用经典版网页客户端的机构立即升级至最新版本以防范潜在的数据泄露风险。

FlowiseAI存在任意文件写入漏洞CVE-2025-26319。该平台是低代码LLM工作流工具，其文件上传校验机制可被攻击者通过特殊编码绕过，实现任意目录文件写入。攻击者可上传恶意文件、脚本或SSH密钥，获取服务器远程控制权。漏洞源于白名单API端点中路径拼接未处理特殊字符，导致目录穿越。建议用户升级或限制对相关API的访问。

研究人员披露OpenClawAI助手中三个高严重性漏洞(CVSS8.8/8.4),包括操作系统命令注入和路径遍历,可被利用通过WhatsApp消息触发主机代码执行、凭证盗窃和权限提升。漏洞已在2026.6.6版本修复。建议更新、启用沙箱、移除exec工具、监控git克隆命令。

本文是零基础SRC漏洞赏金入门指南与引流软文。核心提出五步法：掌握HTTP交互基础、熟练使用BurpSuite、通过DVWA靶场手动复现理解原理、从小厂商SRC开始实战、专注越权与密码重置等高收益逻辑漏洞。文章强调重思维轻工具，通过积累实战变现。文末以赠送攻防资料为噱头引流，技术深度较浅但具基础指引价值。

Flowise3.0.13及更早版本存在高危认证绕过漏洞(CVE-2026-56271)，因企业版认证中间件使用硬编码默认JWT密钥且环境变量未配置时静默回退，攻击者可伪造管理员令牌获取平台最高权限。官方已在3.1.0版本修复，建议立即升级或配置自定义环境变量加固，并轮换敏感凭据。

本文介绍00Query工具，用于红队和SRC漏洞挖掘中快速发现微信公众号和小程序资产。核心方法包括通过ICP备案查询小程序appid，以及使用00Query工具基于ICP备案号或企业名批量查询。工具还支持公众号跳转功能，用于发现嵌套的H5资产。该工具已开源在GitHub。

本文剖析ApachesuEXEC日志目录可写导致的SUID提权漏洞。当Web用户对日志目录具备写权限时，攻击者可利用符号链接劫持日志，结合suexec.c中vfprintf未过滤换行符的缺陷，以root权限向/etc/passwd等关键文件追加恶意内容完成提权。文章详解五种利用方式、攻击链标准化流程及Alpine环境实战复现，建议严格限制日志目录权限。

本文推广白昼信安漏洞知识库，该平台收录四千六百余篇技术文档，覆盖七百余款主流产品的已公开Nday漏洞，涵盖Web及网络设备等方向。平台明确不提供零日漏洞，仅供安全研究与学习参考，并强调使用者须遵守网络安全法规，禁止未授权渗透测试，属于典型的安全资源库宣发内容。

本文介绍发现微信隐藏资产的方法以扩展SRC与红队攻击面。作者讲解通过ICP备案结合公众号后台获取AppID的流程，并发布自研的00Query工具。该工具基于零零信安API，支持按企业名快速查询公众号fakeid与小程序AppID，结合跳转工具可高效挖掘嵌套H5资产，提供实用的资产收集方案。

创信华通发布2026年7月网络安全漏洞通告，列出10个高危漏洞，涉及GoogleChrome、Zyxel设备、MicrosoftOffice、OpenClaw、WordPress插件及OracleUnifiedDirectory等，并提供CNVD编号与详情链接。通告还介绍了其等保测评、密码测评等安全服务能力，强调协助用户提升预警与响应能力。建议用户及时关注并修复相关漏洞。

Zimbra敦促用户立即升级至ZCSv10.1.19以修复ClassicWebClient严重XSS漏洞。该漏洞由谷歌威胁分析团队发现，攻击者通过特制邮件触发恶意代码窃取会话与邮箱信息。尽管暂无CVE编号且未确认在野利用，但鉴于俄罗斯国家黑客组织常利用同类漏洞攻击政府机构，使用该客户端的用户务必尽快升级以规避高级持续性威胁。

本周安全漏洞周报显示共523个漏洞需关注，其中高危289个、中危180个、低危54个。核心政策包括智能体部署安全指引、能源数据分类分级指南等。关键漏洞涉及Cisco、Citrix、Google、Apple等多款产品，攻击者可利用漏洞执行任意代码或导致拒绝服务。威胁情报指出MicrosoftSharePointServer反序列化漏洞(CVE-2026-45659)已被利用，SimpleHelpOIDC身份验证绕过漏洞(CVE-2026-48558)被用于部署信息窃取程序。建议用户关注厂商主页及时获取补丁。