ZONE.CI 全球网

FirefoxJIT引擎存在CVE-2026-10702高危漏洞，攻击者可通过恶意JS触发越界读写实现沙盒内任意代码执行。Mozilla已在151.0.3版本修复。建议立即升级或禁用JIT编译作为临时缓解。该漏洞已被纳入IonStack安卓Root攻击链，实战风险极高。

该文档汇总了2026年攻防演练前需重点排查的679个漏洞清单，指出AI与大模型应用工具、OA与协同办公系统、中间件与开发框架、网络与安全产品、桌面软件与操作系统为五类高危入口。强调漏洞治理应从发现修复转向优先修复最易被利用的漏洞，并关注AI基础设施、传统Web漏洞及企业软件供应链风险。

同程旅行安全应急响应中心自2026年7月10日起暂停接收旗下子公司（金天鹅、住哲、云掌柜等）业务漏洞，以优化漏洞管理流程、提升处置效率，恢复时间将另行通知。

2026年7月10日CISAKEV新增4个在野利用漏洞，包括AdobeColdFusionCVE-2026-48282（CVSS10.0）、Joomla插件SPPageBuilderCVE-2026-48908（CVSS10.0）、LangflowCVE-2026-55255（CVSS9.9）及CoreWCFCVE-2026-54782（CVSS10.0），另有ApacheGravitinoCVE-2026-41042（CVSS9.1）。这些漏洞均被积极利用，需立即升级软件、审计日志并限制网络访问。

斗象科技发布2026攻防演练必修高危漏洞集合2.0版，整理38个高危漏洞，涵盖SQL注入、RCE、文件读取等类型，影响国产化ERP、OA、CRM等系统。报告提供漏洞信息、影响范围、检测思路和修复建议，旨在帮助企业补充自查清单，应对护网期间安全风险。

本文通过三道CTF题目详细演示了Web流量包分析提取冰蝎WebShell、本地导出Java类文件排查隐藏内存马、以及Fastjson漏洞关联哥斯拉流量解密获取Flag的完整实操步骤。核心方法包括过滤HTTP流量定位WebShell路径、使用MD5计算文件哈希、通过ABC蓝队分析工具解密冰蝎和哥斯拉加密流量、以及全局搜索敏感关键字排查内存马。可操作建议包括使用D盾查杀工具辅助验证和编写Python脚本解密Base64类文件。

本周报收录了国家信息安全漏洞共享平台(CNVD)及国家信息安全漏洞库(CNNVD)发布的风险漏洞信息，建议相关用户和组织及时关注并应用官方补丁与修复方案，以保障信息系统安全稳定。

本文披露了Spicychat平台上一个对象级授权失效(BOLA/IDOR)漏洞，该漏洞允许攻击者通过未授权访问消息标签端点来泄露私密AI聊天内容。漏洞赏金为700美元。核心问题在于辅助功能端点缺少授权检查，修复建议是在处理标签更新前验证用户对父对话的访问权限。建议安全测试时关注次要功能端点的授权。

CNNVD近期采集208个AI漏洞，含32个超危、92个高危、84个中危。主要涉及FlowiseAI、OpenClaw、MicrosoftAzureAIBotService等厂商，漏洞类型包括输入验证错误、权限控制问题和授权问题。厂商已发布补丁，建议用户及时更新。

斗象科技发布2026攻防演练必修高危漏洞集合1.0版，梳理了2025年10月至2026年6月期间红队利用最频繁的34个高危漏洞，涵盖远程代码执行、认证绕过、SQL注入等类型，涉及Oracle、Apache、Microsoft等厂商及国产系统。报告提供漏洞基础信息、检测规则和修复方案，旨在协助企业开展风险自查、加固边界防线，完整版需关注公众号获取。

优比快修复UniFi操作系统7个高危漏洞，含CVSS10.0命令注入漏洞CVE-2026-50746。其他漏洞涉及SQL注入、SSRF、CORS配置错误等，影响UniFiConnect、Talk、Access等应用。厂商建议升级至066号安全公告所列版本，暂未确认在野利用。用户应尽快更新以降低风险。

Nebula团队公开了安卓远程Root漏洞利用链，结合Firefox浏览器漏洞与Linux内核15年旧漏洞，用户点击恶意URL即可实现设备Root。攻击链分浏览器、内核和后利用阶段，已证实可在谷歌Pixel设备上运行。漏洞细节暂缓披露，但PoC代码已公开，建议用户及时更新系统补丁。

ApacheAPISIX3.16.0版本的jwt-auth插件存在JWT算法混淆漏洞(CVE-2026-39999),CVSS评分9.1。攻击者可利用公钥伪造令牌绕过身份验证,可能暴露后端服务。建议升级至3.16.1或更高版本,并审查访问日志排查异常令牌。

pretix团队发布2026.5.3版本修复两个严重漏洞。CVE-2026-13602为会话劫持漏洞，攻击者通过串联支付插件签名验证缺陷、重定向工具密钥复用及管理员模拟功能，可获取任意后端账户控制权。CVE-2026-13603为pretix-oppwa插件SSRF漏洞，因未校验resourcePath输入导致OppwaAPI密钥泄露。官方建议立即更新至2026.5.3等版本并更换API令牌，临时可屏蔽特定URL缓解。

GhostCMS存在严重缓存投毒漏洞(CVE-2026-53943,CVSS9.6),影响v4.0至v6.36.0版本。攻击者利用x-ghost-preview请求头污染共享缓存,可劫持员工账户。建议立即升级至6.37.0或更高版本,或配置缓存绕过该请求头。若怀疑被入侵,可使用v6.41.0中的重置身份验证功能。

lpe-toolkit是GitHub上开源的Linux提权审计工具，集成24个漏洞覆盖7种CPU架构，支持自动检测内核版本并过滤已修补漏洞。工具提供预编译二进制、干跑模式等功能，适用于渗透测试、应急响应和安全研究。使用需注意仅限授权场景，部分漏洞可能触发安全告警。

Linux内核FUSE组件存在本地权限提升漏洞(CVE-2026-31694)，源于fuse_add_dirent_to_cache()未检查dirent大小，恶意FUSE服务器可导致缓存溢出。影响多个内核版本及Ubuntu、Fedora等发行版。利用需本地低权限及FUSE功能。建议立即升级补丁或采取限制FUSE访问等临时缓解措施。

CISA于2026年7月7日将Langflow授权绕过漏洞CVE-2026-55255加入KEV目录，要求联邦机构在7月10日前修复。该漏洞影响1.9.1之前版本，允许已认证攻击者越权执行其他用户的流程。AI工作流平台因常保存API密钥和云凭据成为攻击目标，企业需立即升级、限制访问边界并轮换高风险密钥，将其纳入生产资产管理。

谷歌发布Chrome安全更新修复27个漏洞，包括两个严重级别的释放后使用漏洞(CVE-2026-15112和CVE-2026-15129)，分别位于Ozone和Views组件。其他高危漏洞涉及V8、ANGLE等组件。目前未发现野外利用。建议用户立即升级至150.0.7871.114及以上版本以防范风险。

GitLab于2026年7月8日发布补丁修复八个安全漏洞，包括一个高危存储型XSS漏洞CVE-2026-6896(CVSS8.7)。该漏洞存在于漏洞证据表格渲染器中，拥有开发者角色的用户可植入恶意脚本。受影响版本广泛，建议自行托管用户立即升级至19.1.2、19.0.4或18.11.7版本。