ZONE.CI 全球网

本文探讨AI辅助漏洞挖掘中的安全护栏问题。作者指出提示词约束不可靠，因上下文压缩、模型自主性、提示注入及注意力分散等原因，AI可能执行危险操作。提出四层确定性护栏：规则声明、工具调用前拦截脚本、只读凭证及环境隔离，并给出具体配置与验收脚本。强调结构上安全而非概率上安全。

本文为OSCP备考系列第14期，聚焦Web漏洞利用入门三件套：XSS、CSRF与命令注入。文章以说人话方式讲解三漏洞原理，区分其攻击目标分别为用户浏览器、用户身份与服务器本身。提供手工测试向量、绕过过滤器手法及从弹框到窃取Cookie、拿Shell的完整利用链路，并给出防御建议。同时明确考试可用工具限制，强调手工测试重要性，内容实操性强。

本文探讨了安全服务验收过程中的关键步骤，包括漏洞判断依据、对象与范围核实、整改路径确认和复验依据补充，强调了确保漏洞整改有效性的重要性。

本期高危漏洞预警聚焦SonicWallSMA1000预认证SSRF、CitrixNetScalerSAML内存溢出及国家级组织利用ProFTPD等五类上古漏洞，并披露GhostAction劫持GitHub仓库窃取密钥事件。建议立即升级SonicWall至12.4.3-03670或12.5.0-03082，NetScaler至14.1-73.46或13.1-64.29，全面排查老旧组件并清理Git历史中的敏感密钥，同时加强日志监控与身份认证配置。

雷神众测发布2026年9月21日至10月11日漏洞周报，涵盖海康威视iVMS-A100SQL注入、金蝶EAS命令执行、IvantiEndpointManagerMobile代码注入及TendaAC6命令注入等四个漏洞，均源自CNVD，建议相关用户及时测试并升级至最新版本以修复风险。

本文介绍利用WorkbuddyAgent与40套Web漏洞Skill技能库实现AI自动化挖洞流程，以文件上传漏洞为例，分步完成上传点定位、漏洞排查人工复现及SRC标准报告生成，强调合规授权测试前提，并推广其技能库资料。

该文档为Next.jsnext/og未授权远程代码执行漏洞（CVE-2026-94545）的安全通告。漏洞源于SVG渲染组件Satori的编码缺陷，攻击者无需认证即可通过特制请求在服务器上执行任意命令，影响Next.js16.2.0至16.3.5版本，官方已在16.3.6及Satori0.33.5修复，建议用户尽快升级并采取临时缓解措施。

中国电信大可实验室在AI漏洞挖掘领域取得新进展：自研锐鉴AI代码安全审计平台通过信通院首批代码安全审计智能体能力评估，实现智能发现-自动验证-方案输出闭环；两篇学术论文分别获2026年网络安全学术征文优秀论文及入选ICAIPS2026，提出多路径协同漏洞挖掘方法与受控重放评估方法，彰显产品与学术双轮驱动实力。

本文记录一次SRC漏洞挖掘实战，通过审计JS文件中的Chunk映射还原隐藏接口，绕过自动化插件限制，最终发现两个未授权漏洞，包括获取全站用户名和MD5密码等敏感信息，以及未授权写入排班信息。建议在测试Vue或Webpack系统时，将Chunk映射作为必查项，逐一验证隐藏接口，以发现服务端缺少授权控制的接口。

文章基于AnthropicProjectGlasswing五个月实践数据，揭示AI漏洞发现能力虽强但转化率极低：26153项发现仅202项修复，高危定级与维护者认可度相差40个百分点，真实利用比例仅约1%。核心结论是AI放大数据供给而非处理能力，人工分诊成为新瓶颈。文章结合RedHat的VulnOps实践，提出七条建议：区分发现与判断、强化人工分诊、领域专家参与Agent建设、确定性工具与AI协同、AI补丁仅作候选、建立持续化漏洞运营、将AI系统纳入攻击面管理。强调AI时代需建立机器负责规模、专家负责判断

本文为Tomcat漏洞复现实战指南，详细介绍了CVE-2017-12615任意文件上传漏洞及弱口令war包部署getshell两个漏洞的原理、影响版本、复现步骤与修复建议。文章基于vulfocus靶场环境，通过抓包改包、爆破弱口令、上传webshell等操作实现getshell，并给出修改readonly配置、强化口令等修复措施，实操性强。

macOS出现路径穿越漏洞CVE-2026-84568，可被利用执行任意代码，已发布修复版本，漏洞影响macOS15.0至15.8和26.0至26.6版本，CVSS评分7.8。

Wukong\\_HRM曝出两项严重漏洞：CVE-2026-108707身份认证绕过（CVSS9.8）可使未认证攻击者获取HR管理员权限，CVE-2026-108708权限控制缺陷（CVSS8.8）可致普通员工越权访问人事数据。两项漏洞均有公开PoC且暂无官方补丁。建议立即限制系统网络暴露面、在网关层加强身份验证与访问控制，并全面审查异常API请求和敏感数据操作日志。

文档为赛博安全狗发布的威胁情报速递，重点披露jeecgboot至3.9.5版本存在多个未授权访问与权限绕过漏洞（CVE-2026-108657），攻击者可利用相关接口获取密码、读取MCP配置或转移租户所有权，建议尽快升级或修复。

安恒信息发布漏洞工厂一周年回顾，构建AI+确定性引擎的漏洞挖掘生产体系，通过切片分析、业务逻辑理解及多语言框架覆盖，在真实项目中实现高准确率漏洞发现与防御规则生成，验证AI规模化发现漏洞能力。

本文披露了一个免费试用期重置漏洞，其成因是系统基于组织创建时间或所有者注册时间计算试用期，且未校验历史试用资格，导致通过转让所有权或退出重建组织可无限重置免费试用。测试流程包括创建组织、转让所有权、观察试用期刷新，并验证重复享受试用。危害包括收入损失、运营成本增加及破坏公平性。建议修复时校验组织唯一实体生命周期及用户历史试用资格。

智邦国际GetAllPrintTemplate接口存在SQL注入漏洞，未经身份验证的远程攻击者可利用该漏洞获取数据库信息，建议关闭互联网暴露面或升级至安全版本。

AnyDeskLinux版存在预认证远程代码执行漏洞AnyPwn，PoC已公开，可在用户批准会话前获取root权限。漏洞源于会话协议中长度值验证缺失导致整数回绕和堆内存损坏。建议更新至8.0.3或更高版本，限制7070端口入站访问，避免以root权限运行服务。

本文报道GoogleDevSite平台存在高危漏洞，未认证攻击者可通过构造恶意Pythonpickle载荷的伪造Flask会话Cookie实现远程代码执行。漏洞源于OAuth客户端密钥泄露并被复用为Flask签名密钥，结合不安全的pickle反序列化形成完整攻击链，影响7个谷歌域名。谷歌已于2026年10月7日修复，并向研究员发放9万美元奖金。该案例警示密钥复用与不安全反序列化叠加可导致严重RCE。

GitLab发布紧急安全更新，修复编号CVE-2026-97229的严重漏洞，CVSS评分10.0。该漏洞源于CI/CD正则表达式编译器整数溢出，未授权攻击者可远程执行任意代码，影响CE与EE版多个版本。建议管理员立即升级至19.2.8、19.3.4或19.4.2及以上版本，并关注已知Bug。