ZONE.CI 全球网

Chrome版Claude存在间接提示注入漏洞，攻击者通过恶意邮件操纵AI读取Gmail验证码，可劫持Slack、X和Claude.ai账户。攻击利用JavaScript工具在已认证浏览器会话中执行代码，通过GmailAtomfeed提取验证码。该漏洞暴露了AI浏览器Agent在不可信内容处理与邮箱身份验证结合时的严重安全风险，建议用户警惕此类攻击链。

WordPressCore曝出高危预认证XSS漏洞CVE-2026-64638，CVSS8.9分。攻击者无需登录，通过构造恶意用户名在wp-login.php触发DOM注入，诱导管理员访问后可结合DOMClobbering窃取API凭据，最终实现远程代码执行。该漏洞影响7.0.2及以下版本，建议立即升级至7.0.3及以上版本进行修复。

WordPressCore存在预认证XSS远程代码执行漏洞(CVE-2026-64638)，影响6.4至7.0.2版本，CVSS评分9.8。攻击者无需认证即可通过登录失败流程注入DOM，结合SOME技术窃取管理员ApplicationPassword，最终上传恶意插件实现RCE。官方已发布7.0.3版本修复，建议立即升级或临时禁用ApplicationPassword。

电商平台前员工利用以旧换新业务的时间差漏洞，通过快速切换订单实现0元购，造成169万元损失。其动用86个账号变现，两名前同事索要封口费被定共犯，三人已被刑拘。事件警示企业需强化业务逻辑并发控制与异常监控，严管离职权限，利用漏洞牟利终将面临刑法制裁。

Apple发布安全补丁修复macOS屏幕共享服务中的未鉴权RCE漏洞CVE-2026-65400。攻击者可绕过认证以root权限读写文件并执行代码，影响macOS26.6及以下、15.7.8及以下、14.7.8及以下版本。建议立即升级至修复版本或关闭屏幕共享服务。

本文分享了四个EDUSRC小程序实战漏洞案例，包括appsecret泄露、sessionkey泄露导致任意登录、AI审计发现调试接口泄露token以及弱口令导致身份证泄露。文章强调了使用BP拦截数据包、反编译代码和AI审计等挖掘技巧，并指出实战挖洞能力是网安行业的核心竞争力。

本文介绍一款名为UploadRanger的文件上传漏洞检测工具。其具备智能扫描上传点、代理抓包、请求重放、自动化爆破及支持两百六十余种绕过技术与多类型载荷生成等功能。建议安全人员通过Python环境快速部署该工具，以提升文件上传漏洞的自动化发现与绕过测试效率。

本文深入分析Fastjson2小于等于2.0.62版本RCE漏洞。漏洞源于checkAutoType仅凭FNV-1a前缀哈希匹配放行类加载而未校验真实字符串，致攻击者可借此碰撞绕过白名单。利用分两步：先缓存恶意JAR获取文件描述符，再构造碰撞@type触发加载器从fd路径执行恶意类。建议立即升级，实战需用唯一类名规避JVM缓存。

Progress在2026年7月修复了KempLoadMaster的五个漏洞，包括三个命令注入和两个权限提升漏洞，均需已认证账户利用，但可导致设备完全被攻陷。受影响版本包括LoadMasterGAv7.2.63.2及更早版本等。建议立即升级至修复版本，并限制管理界面和API访问权限，审查管理员账户。

墨菲安全发现并报送AppleXNU内核NECP子系统中的双重释放漏洞CVE-2026-43778，该漏洞可被本地普通权限应用利用造成内核UAF。Apple已在iOS26.6、macOSTahoe26.6等更新中修复。墨菲安全自研的墨思AIAgent参与了漏洞挖掘与分析，其SCA和SGP产品可协助企业进行风险识别与升级加固。

本文指出漏洞清零存在流入高于处置、级别与风险脱节等结构性缺陷，AI加剧了该矛盾。结合美欧法规转变，文章提出应从数量合规转向结果合规，核心是采用风险优先级排序与漏洞例外管理。文中详细阐述了例外场景、失效模式及工程化承载要点，并引出摄星四相解决方案。

Metabase存在CVSS10.0的未授权SQL注入漏洞，影响多个版本。攻击者无需认证即可通过/api/session/reset\\_password接口注入SQL，获取管理员权限并窃取数据。官方已确认在野利用并发布安全更新。建议用户立即升级至安全版本。

360图龙锋开放试用首月，近500家企业申请，累计发现近9000漏洞，新发现3000余个含严重高危漏洞。采用安全大模型与智能体蜂群协同，覆盖源代码、二进制、固件等。企业应主动检测未知风险，提升产品安全基线。

Fastjson1.2.68至1.2.83版本曝出严重RCE漏洞CVE-2026-16723，默认配置下即可触发，完全绕过AutoType、黑名单及指定Class等传统防御，前提为SpringBootfat-jar部署。黑名单机制本质脆弱，建议尽快迁移至Fastjson2.x，或启用SafeMode及noneautotype版本，践行默认安全原则消除风险。

NGINX曝出高危堆溢出漏洞CVE-2026-42533，CVSS评分为8.1且RCE代码已公开。漏洞源于map指令正则匹配对变量引用处理不当，特定配置下攻击者可构造HTTP请求触发堆溢出并实现远程代码执行。漏洞影响开源及Plus版多个版本，建议立即排查配置并升级至安全版本规避风险。

本文披露通过Ruby解析器Oj的内存损坏漏洞实现GitLabRCE的过程。攻击者提交恶意JupyterNotebook触发diff渲染，利用嵌套栈越界写入与堆指针泄露劫持回调指针完成利用。该漏洞潜伏近四年影响多个版本。建议立即升级GitLab并重视Ruby底层C扩展的内存安全风险。

本文详细介绍了Fastjson1.2.83远程代码执行漏洞的利用方法，影响1.2.68至1.2.83版本，需JDK8环境且autoTypeSupport为false。文章提供了完整的漏洞复现步骤，包括环境搭建、恶意JAR生成、HTTP服务启动及Payload执行，可实现弹计算器或反弹shell。后半部分为SRC漏洞挖掘培训课程广告，介绍课程内容、价格及学员成果。

本文介绍通过动态调试技术审计PHP未授权漏洞，涵盖Xdebug配置与PHPStorm设置。通过Xhcms、Cwcms、Bosscms三个案例，分析鉴权逻辑缺失、脆弱或不严谨导致的未授权访问。核心建议是使用断点跟踪鉴权流程，检查鉴权文件引用与程序终止逻辑，以发现和修复漏洞。

本文介绍了一套面向SRC漏洞挖掘的Agent提示词工程与技能知识体系CK-Skills。该体系基于ClaudeCode等通用Agent框架，通过系统级提示词与14个专项技能知识库的结合，解决通用Agent在安全垂直领域的流程执行与经验型漏洞自动化痛点。其四层架构涵盖资产测绘、越权、注入、WAF绕过及AI安全等广泛场景。使用者需关注公众号回复关键字获取工具包，属于典型的安全社区引流工具分享内容。

Connective签名扩展是比利时eID生态核心组件，覆盖200多万用户、8家银行和60多个政府机构。研究发现其存在严重设计缺陷：activationToken无域名绑定，任何网站可静默读取eID和银行卡数据；PIN码加密密钥与密文打包直接暴露给网页，可被用于伪造签名；通过library参数可实现远程代码执行。修复耗时146天，暴露了QTSP安全认证体系的不足。建议用户检查扩展权限，企业应进行渗透测试。