ZONE.CI 全球网

本文系统介绍了WebSocket协议在渗透测试中的漏洞挖掘实战，重点分析了权限相关漏洞（如越权登录、越权操作）、并发类漏洞及信息泄露问题。文章指出WebSocket服务常使用protobuf传输，鉴权方式包括握手即鉴权和连接后鉴权。关键发现包括通过修改userKey实现越权登录、利用多连接或单连接并发发送消息实现并发攻击。可操作建议包括使用自定义工具测试WebSocket服务、注意查找前端代码（如zip包）和利用AI辅助分析。

本文披露了2026年电商物流中台的一个高危漏洞：攻击者利用物流状态机中未受保护的PICKED\\_UP过渡态，结合水平越权和可预测的物流单号，可在不触发风控的情况下将他人包裹的收货地址修改为自己地址。漏洞根因是物流系统与订单系统权限解耦、状态机设计缺陷及单号可枚举。防御方案包括强制校验用户身份、关闭过渡态修改入口及使用随机UUID。文章提供了SRC挖洞建议，强调关注跨服务调用链中的权限衰减。

本文为关于Fastjson2远程代码执行漏洞的通告标题及发布信息，但文档正文内容缺失，无法提供具体的漏洞细节、影响范围及修复建议等核心要点。由于缺乏实质技术内容，无法进行深入分析。

本文介绍了一款开源的云安全漏洞挖掘工具集cloud-vuln-skill，支持S3存储桶爆破、IMDS元数据探测、K8s未授权访问检测、容器逃逸条件筛查及AK/SK凭据验证与权限枚举等功能。工具遵循只读探测原则，无破坏性操作，适用于云资产风险巡检与实战攻防演练。文章后半部分包含大量内部VIP知识星球的推广内容，属于软文广告。

Kiro是AWS的AgenticIDE，其MCP配置文件mcp.json不受保护，AI可无审查修改并自动重载，导致远程代码执行。攻击者通过隐藏指令（如白色文字）诱导AI写入恶意配置，绕过人类审批。漏洞已修复（CVE-2026-10591），建议用户更新。安全边界应建立在平台层面而非模型判断上。

研究团队公开GitLab远程代码执行漏洞链，串联Oj组件的越界写入与堆指针泄露两处内存缺陷。攻击者仅凭推送权限，通过构造恶意Jupyter笔记本差异渲染即可绕过ASLR，以git用户权限执行命令，导致源码泄露与内网移动。该潜伏近五年的漏洞虽已于6月修复但被误归为普通Bug。建议受影响版本用户立即升级至18.10.8、18.11.5或19.0.2，暂无配置缓解方案。

本文档记录了一次针对教育网资产的渗透测试实战，从发现ASP站点的SQL注入漏洞开始，利用报错注入获取数据库信息，最终通过xp\\_cmdshell实现远程代码执行(RCE)并拿下服务器权限。文章详细展示了利用AI辅助生成自动化脚本的过程，但后半部分大量篇幅用于推广付费安全圈子、知识库和漏洞库等商业内容，技术价值被商业推广稀释。

Chrome版Claude存在间接提示注入漏洞，攻击者通过恶意邮件操纵AI读取Gmail验证码，可劫持Slack、X和Claude.ai账户。攻击利用JavaScript工具在已认证浏览器会话中执行代码，通过GmailAtomfeed提取验证码。该漏洞暴露了AI浏览器Agent在不可信内容处理与邮箱身份验证结合时的严重安全风险，建议用户警惕此类攻击链。

WordPressCore存在预认证XSS远程代码执行漏洞(CVE-2026-64638)，影响6.4至7.0.2版本，CVSS评分9.8。攻击者无需认证即可通过登录失败流程注入DOM，结合SOME技术窃取管理员ApplicationPassword，最终上传恶意插件实现RCE。官方已发布7.0.3版本修复，建议立即升级或临时禁用ApplicationPassword。

电商平台前员工利用以旧换新业务的时间差漏洞，通过快速切换订单实现0元购，造成169万元损失。其动用86个账号变现，两名前同事索要封口费被定共犯，三人已被刑拘。事件警示企业需强化业务逻辑并发控制与异常监控，严管离职权限，利用漏洞牟利终将面临刑法制裁。

Apple发布安全补丁修复macOS屏幕共享服务中的未鉴权RCE漏洞CVE-2026-65400。攻击者可绕过认证以root权限读写文件并执行代码，影响macOS26.6及以下、15.7.8及以下、14.7.8及以下版本。建议立即升级至修复版本或关闭屏幕共享服务。

本文介绍一款名为UploadRanger的文件上传漏洞检测工具。其具备智能扫描上传点、代理抓包、请求重放、自动化爆破及支持两百六十余种绕过技术与多类型载荷生成等功能。建议安全人员通过Python环境快速部署该工具，以提升文件上传漏洞的自动化发现与绕过测试效率。

本文深入分析Fastjson2小于等于2.0.62版本RCE漏洞。漏洞源于checkAutoType仅凭FNV-1a前缀哈希匹配放行类加载而未校验真实字符串，致攻击者可借此碰撞绕过白名单。利用分两步：先缓存恶意JAR获取文件描述符，再构造碰撞@type触发加载器从fd路径执行恶意类。建议立即升级，实战需用唯一类名规避JVM缓存。

Progress在2026年7月修复了KempLoadMaster的五个漏洞，包括三个命令注入和两个权限提升漏洞，均需已认证账户利用，但可导致设备完全被攻陷。受影响版本包括LoadMasterGAv7.2.63.2及更早版本等。建议立即升级至修复版本，并限制管理界面和API访问权限，审查管理员账户。

墨菲安全发现并报送AppleXNU内核NECP子系统中的双重释放漏洞CVE-2026-43778，该漏洞可被本地普通权限应用利用造成内核UAF。Apple已在iOS26.6、macOSTahoe26.6等更新中修复。墨菲安全自研的墨思AIAgent参与了漏洞挖掘与分析，其SCA和SGP产品可协助企业进行风险识别与升级加固。

本文指出漏洞清零存在流入高于处置、级别与风险脱节等结构性缺陷，AI加剧了该矛盾。结合美欧法规转变，文章提出应从数量合规转向结果合规，核心是采用风险优先级排序与漏洞例外管理。文中详细阐述了例外场景、失效模式及工程化承载要点，并引出摄星四相解决方案。

Metabase存在CVSS10.0的未授权SQL注入漏洞，影响多个版本。攻击者无需认证即可通过/api/session/reset\\_password接口注入SQL，获取管理员权限并窃取数据。官方已确认在野利用并发布安全更新。建议用户立即升级至安全版本。

360图龙锋开放试用首月，近500家企业申请，累计发现近9000漏洞，新发现3000余个含严重高危漏洞。采用安全大模型与智能体蜂群协同，覆盖源代码、二进制、固件等。企业应主动检测未知风险，提升产品安全基线。

Fastjson1.2.68至1.2.83版本曝出严重RCE漏洞CVE-2026-16723，默认配置下即可触发，完全绕过AutoType、黑名单及指定Class等传统防御，前提为SpringBootfat-jar部署。黑名单机制本质脆弱，建议尽快迁移至Fastjson2.x，或启用SafeMode及noneautotype版本，践行默认安全原则消除风险。

本文披露通过Ruby解析器Oj的内存损坏漏洞实现GitLabRCE的过程。攻击者提交恶意JupyterNotebook触发diff渲染，利用嵌套栈越界写入与堆指针泄露劫持回调指针完成利用。该漏洞潜伏近四年影响多个版本。建议立即升级GitLab并重视Ruby底层C扩展的内存安全风险。