ZONE.CI 全球网

文档展示了在豆包平台复现XSS漏洞的过程：通过插入恶意脚本标签生成HTML页面，经预览和分享功能生成可访问链接。内容显示漏洞存在但缺乏技术分析深度，作者表明此为娱乐性质测试。

F5公司披露NGINX开源版存在两个CVSS评分9.2的严重漏洞：CVE-2026-42530为HTTP/3模块释放后使用漏洞，CVE-2026-42055为HTTP/2代理模块堆溢出漏洞，均可在特定配置下导致远程代码执行。受影响版本涵盖NGINX1.30.0-1.31.1及多个衍生组件，官方已发布修复版本并建议禁用HTTP/3或调整header缓冲区配置作为临时缓解措施。

FreeBSDKTLS本地权限提升漏洞(CVE-2026-45257)允许攻击者通过构造特定本地网络请求，在数据解密过程中直接覆盖文件页缓存内容，从而修改setuid二进制文件实现权限提升。该漏洞影响FreeBSD13.0-15.0等多个版本，目前PoC已公开。建议用户立即升级至修复版本或通过禁用KTLS功能进行临时缓解。

CNVD漏洞周报2026年第24期显示，上周信息安全漏洞威胁整体为中等级别，共收录400个漏洞，其中高危漏洞219个。本周收录的漏洞中85%为0day漏洞。重要漏洞涉及Microsoft、Google和Siemens等多家厂商的产品，例如MicrosoftWindowsDNS权限提升漏洞、GoogleAndroid未明漏洞以及SiemensSINECINS操作系统命令注入漏洞等。

该文档是CNVD发布的2026年6月15日至21日产品安全漏洞周报，总结了上周关注度较高的10个安全漏洞。境外厂商漏洞涉及GoogleChrome的数据泄露和整数溢出漏洞、SiemensSINECINS的命令注入和权限提升漏洞、Apple产品的内存损坏漏洞；境内厂商漏洞包括D-Link和Tenda路由器的缓冲区溢出漏洞、华为系统内存错误引用和越界访问漏洞。报告提供了每个漏洞的简要描述和CNVD参考链接，为安全团队提供及时的漏洞预警信息。

本文披露苹果A12与A13的usbliter8漏洞，源于USB控制器DMA处理短包的硬件缺陷。研究者利用DMA下溢原语绕过PAC防护，实现SecureROM代码执行。该漏洞属永久型缺陷且无法更新修复，建议用户警惕物理接触攻击，重视硬件安全。

AvadaBuilder插件存在严重未授权任意文件删除漏洞CVE-2026-8713，CVSS评分9.1。攻击者无需认证即可删除服务器文件，通过删除wp-config.php可完全控制网站。约百万WordPress站点受影响，需立即升级至3.15.4版本修复。

安全研究人员在自注册预订平台发现高危漏洞：平台将用户JWT令牌直接嵌入首页HTML且页面被公共缓存，结合SameSiteCookie默认行为，通过顶部导航重定向实现缓存欺骗攻击。攻击者构造恶意链接诱导受害者访问，利用缓存破坏器锁定会话，最终窃取JWT完成账户劫持，获2000美元赏金。案例揭示需系统性审视身份信息在缓存层与Cookie策略的链式风险。

本文介绍了在某大学小程序和学生信息系统中发现的多项安全漏洞。通过抓包技术（如Fiddler、Burp、Clash）获取请求，结合搜索引擎收集的学号和身份证信息，作者成功挖掘出敏感数据越权访问问题：在小程序中遍历personsn参数可获取全校学生敏感信息（涵盖2018-2023年），学生系统中通过修改StudentNo参数可越权访问全校学生的缴费明细、电子票据等数据。同时发现XSS漏洞（绕过黑名单标签）及可未授权修改学生信息的风险。建议加强数据接口权限控制、输入过滤及敏感操作验证。

本文深入解析CORS跨域资源共享机制，指出其本身是安全补丁而非漏洞，但配置不当会导致严重安全隐患。文章通过生动比喻阐释同源策略与CORS关系，重点分析三类常见错误配置：无条件信任Origin头、允许空来源null、以及滥用凭证携带功能。强调赏金猎人在渗透测试中可利用这些配置缺陷获取敏感数据，并提醒开发者正确实施CORS白名单机制。

GoogleChromeV8引擎存在越界读写漏洞CVE-2026-11645，攻击者可通过恶意网页触发漏洞绕过沙箱防护实现远程代码执行，完全控制用户设备。影响版本包括Windows/Mac版Chrome低于149.0.7827.102/.103及Linux版低于149.0.7827.102。目前POC未公开，建议用户通过chrome://settings/help升级至安全版本。

OpenCodeCNVD多Agent插件是用于授权场景下CNVD漏洞挖掘的开源工作流工具，包含插件配置、提示词模板和规范文档。该工具通过多Agent协作实现资产收集、攻击面分析、漏洞验证和报告生成，具备严格的边界控制机制，自动拦截高危操作并记录风险队列。使用前需登记授权范围，支持长期运行和记忆持久化，适用于OA系统等特定目标的合规安全测试。

文档披露NginxProxyManager远程代码执行漏洞CVE-2026-40519，因setupCertbotPlugins函数未对dns_provider_credentials参数充分过滤，攻击者可注入恶意载荷实现命令执行。影响版本2.9.14至2.15.1，目前官方未发布修复，建议用户关注GitHub更新并避免使用受影响版本。

CVE-2026-42824是Microsoft365Copilot的高危漏洞，攻击者通过恶意URL可绕过权限校验窃取邮箱、验证码等敏感数据。文档拆解了三段式攻击链，提供了PowerShell检测脚本、WAF规则和Sigma监控规则等可落地的防护方案，并建议通过组策略和权限管理进行应急加固。

AIScan是一款多Agent分布式协同扫描工具，融合传统漏洞扫描精准性与AI智能分析能力，支持自动复盘校验以减少误报漏报。采用IOA协作协议实现多节点自主组网，提供Scan模式（端口发现、Web探测、弱口令检测、POC检测流水线）和Agent模式（自然语言任务规划），内置gogo、spray等扫描工具及浏览器侦察模块，适用于红队安全评估、内网巡检等场景。文档包含工具下载、配置指南及VIP星球推广内容。

LiteLLM开源Python库在MCP服务器配置处理中存在远程命令执行漏洞CVE-2026-42271，攻击者通过构造恶意command参数可在代理主机执行任意系统命令。修复方案包括添加命令白名单校验和角色检查机制，建议升级至1.83.7及以上版本。

Cloudflare实践指南详述了构建AI驱动的漏洞发现流水线，核心在于采用模型无关（model-agnostic）的架构，通过可替换的多个模型进行交叉验证以提升覆盖率和准确性。文章系统介绍了从单一技能（skill）扩展至全流程扫描的关键阶段，包括侦察、狩猎、验证、去重和跨仓库追踪，并强调持久化状态管理和对抗性验证对于消除误报、实现规模化漏洞挖掘的重要性。

FreeBSDKTLS本地权限提升漏洞CVE-2026-45257为高危漏洞，攻击者可利用内核TLS解密缺陷覆盖受保护文件实现本地提权。影响13.0-15.0版本，CVSS评分7.1。官方已发布补丁，建议升级至指定版本或通过sysctl禁用KTLS功能临时缓解。

文档详细解析了Exchange服务器零日漏洞CVE-2026-42897，该漏洞属于XSS/欺骗类型，CVSS评分8.1，攻击者通过恶意邮件在OWA中触发漏洞可窃取会话Cookie实现横向移动。微软已于2026年6月9日发布补丁，建议企业立即部署累积更新。文章同时推荐了网际思安邮件安全网关与沙箱方案，通过深度内容解析和行为检测实现前置防护。

Chrome扩展程序SiderAI和MaxAI存在严重安全漏洞Spyder和MaXSS，允许攻击者通过恶意网页完全控制浏览器会话，窃取Gmail等敏感数据并操作本地文件。漏洞源于扩展未正确验证网页输入数据，影响超1000万台设备。安全专家建议用户立即卸载相关扩展，Google已获通知。