ZONE.CI 全球网

奇安信CERT通告JeecgBoot积木报表autoexport接口存在未授权远程代码执行漏洞QVD-2026-56805，CVSS评分9.8高危，影响万级资产。漏洞源于参数值以等号开头时被表达式引擎按Excel公式解析，底层具备Groovy脚本能力且未过滤，攻击者可远程执行任意命令。建议升级JimuReport至2.5.1，并配置防护规则拦截恶意请求及收敛匿名放行。

Next.js存在CVE-2026-75604严重漏洞，CVSS评分9.9，影响Windows平台特定版本，可未授权远程命令执行。根因是缓存路径穿越未处理反斜杠，攻击者可读取ServerAction加密密钥并伪造请求执行任意命令。建议升级至15.5.24或16.3.3及以上版本，或停用增量静态缓存。

本文披露新中新中小学智慧校园信息管理系统PSE存在任意文件上传漏洞，攻击者可获取服务器权限。文章提供FOFA搜索语句、具体上传payload及批量检测POC代码，并附免责声明强调需授权测试。内容具可操作性，但含公众号推广信息。

TendaHG10路由器存在CVE-2026-82542严重漏洞，CVSS评分10.0，无需认证即可远程代码执行，PoC已公开且暂无官方补丁。漏洞位于BoaWebServer的formIPv6Routing函数，可导致栈缓冲区溢出并获得Root权限。建议立即限制管理接口访问、禁用远程管理并监控攻击迹象，高风险环境考虑更换设备。

泛微E-cology10平台downLoadSyslog接口存在未授权任意文件读取漏洞，影响该平台用户。文章提供了FOFA查询语句和漏洞复现方法，建议用户及时打补丁修复。文章末尾推广了作者知识星球，提供批量扫描POC工具，需注意合规使用。

亿赛通电子文档安全管理系统存在高危SQL注入漏洞，漏洞位于/CDGServer3/client/notouchapprove.jsp;Servicelogin接口，未授权攻击者可执行SQL语句获取数据库敏感信息，影响该系统相关版本，目前POC已公开且暂无漏洞编号，官方已发布修复版本，建议用户尽快升级至安全版本以防数据泄露风险。

本文介绍WebVulnScanner，一款检测评估型Web漏洞扫描工具，具备35个检测模块、1000+内置规则及可扩展YAML模板签名引擎，覆盖信息收集、配置传输、信息泄露、注入漏洞及主动扫描等能力。工具强调仅做检测不做利用，需获书面授权后使用，并提供安装使用及免责声明。

文档汇总了2026年9月1日多条安全快讯，涵盖ServiceNow关键漏洞修复、AI基础设施遭集中攻击、UnitreeG1人形机器人蓝牙漏洞可致远程代码执行、恶意广告武器化、动态钓鱼页、伊朗黑客致英国电厂停运、HookEdge后门攻击欧洲防务目标、勒索团伙用AI处理赃数据、OpenAI停止向Cursor提供模型、约700个AI代理协同攻击HuggingFace等事件，强调企业需加强资产盘点、权限管控、供应链风险与安全监测。

深信服运维安全管理系统存在命令执行漏洞，影响版本3.0.1220241106及以下。攻击者可构造恶意请求执行任意命令，导致服务器被控制及数据泄露。建议关闭互联网暴露面或设置访问权限，并升级至安全版本。文章附有漏洞复现请求示例及修复建议，但含推广内容。

9月网络安全风险高发，主要面临三大威胁：高危漏洞集中爆发、开学季钓鱼诈骗泛滥、全网批量扫描渗透加剧。企业应开展轻量化自查，重点排查外网资产漏洞、强化员工安全意识、收敛攻击面并清理弱口令，通过常态化自查与全员防范可抵御大部分常规攻击。

本文详细披露了一个网络安全AI聊天平台中的对象级授权（BOLA）漏洞。作者通过双账户测试方法，发现任何认证用户可查看其他用户的私聊记录并发送消息，影响读写路径。漏洞源于服务器仅验证身份而未验证资源所有权。作者提供了修复建议，包括添加所有权验证、使用更长ID等，并获500美元赏金。

ServiceNowAI平台曝出3个CVSS满分10.0漏洞，无需认证即可远程执行代码和SQL注入，影响全球企业ITSM核心系统。文章详细分析了漏洞细节、风险原因，并给出紧急响应建议，包括确认暴露面、打补丁、排查痕迹和加检测规则。建议自托管客户立即行动。

CNNVD通报WebProscPanel存在高危漏洞（CNNVD-2026-17225915、CVE-2026-65643），源于域名参数处理存在动态代码注入缺陷，普通账户可提权至root执行任意代码，影响11.110.0.141之前版本，官方已发布修复版本，建议用户尽快升级。

CNNVD通报WebProscPanel存在高危漏洞，影响11.110.0.141之前版本，攻击者利用域名参数处理缺陷可注入代码，以root身份执行任意代码，完全控制服务器。官方已发布修复版本，建议用户尽快确认版本并更新，参考官方安全公告链接。

JFrogArtifactory曝出CVE-2026-82329高危认证绕过漏洞，CVSS评分9.8，攻击者无需认证即可获取管理员权限。受影响版本涵盖多个自托管分支，官方已发布修复版本。建议立即升级、限制管理接口访问并排查异常管理员令牌，防范供应链污染风险。

PostgreSQL核心服务器组件存在高危堆缓冲区溢出漏洞CVE-2026-14669，CVSS评分8.8，低权限认证用户可利用超长时区缩写通过to\\_char函数触发堆溢出实现远程代码执行。360漏洞研究院已成功复现并公开利用代码。受影响版本涵盖PostgreSQL14至18多个系列，建议用户立即升级至修复版本18.5、17.11、16.15、15.19、14.24及以上，并关注360产品检测规则更新。

NVIDIANemoClaw框架存在高危漏洞CVE-2026-65105，CVSS评分8.1。攻击者通过恶意网页利用DNS重绑定绕过同源策略，访问本地OllamaAPI并篡改模型聊天模板，实现持久化投毒，完全接管AI智能体。该攻击隐匿性强、持久性突出，可滥用智能体权限造成数据泄露等严重后果。案例警示AI基础设施需遵循默认安全原则，避免为便利性牺牲安全性。

本文披露汉王e脸通综合管理平台uploadMeetingFile.do接口存在未授权任意文件上传漏洞，攻击者可写入后门获取服务器权限。文中提供FOFA搜索语法、复现请求示例及修复建议，包括关闭暴露面或升级版本。文章末尾含付费圈子推广内容，属漏洞披露与软文混合内容。

JeecgBoot内置JimuReport组件auto/export接口存在未授权远程代码执行漏洞，参数值以=开头时被内部表达式引擎按Excel公式解析，该引擎具备Groovy脚本能力且无过滤，可执行任意命令。文章提供了资产收集方法及POST请求复现POC，建议相关系统尽快排查修复。

启明星辰披露WindowsHTTP.sys高危特权提升漏洞CVE-2026-62735，源于整数溢出导致内核内存破坏，本地低权限攻击者可获SYSTEM权限，PoC已公开。影响多版本Windows及Server。建议立即安装微软安全更新至指定版本，并遵循最小权限、防火墙加固等通用安全实践以降低风险。