ZONE.CI 全球网

CNNVD近期采集201个AI漏洞，超危31个高危89个。关键漏洞包括FlowiseAI代码注入、IBMLangflow代码注入及MLflow服务端请求伪造。建议立即升级相关组件至最新版本以修复漏洞。

wifi万能钥匙安全应急响应中心发布AI生成漏洞报告提交规范，鼓励白帽子使用AI工具辅助挖掘漏洞，但要求严格人工验证并提供详细复现步骤、POC和截图。未经人工验证的报告直接驳回，累计提交超过3个无效报告将提醒，超过5个拉黑。该规范旨在平衡AI效率与报告质量，维护专业漏洞披露生态。

CursorIDE存在高危零点击RCE漏洞(CVE-2026-63093)，攻击者通过恶意git.exe或hatch.exe文件在项目目录中实现远程代码执行。建议立即更新客户端、谨慎打开未知仓库、强化进程监控并推行工作区信任机制。

Varonis威胁实验室披露微软CopilotPersonal存在三个漏洞(统称CoSnitch,CVE-2026-24301),攻击者可通过精心构造的链接实现单次点击数据外泄和持久内存投毒。漏洞利用未记录的autorun参数自动执行提示词,从已连接服务(如邮件、日历、GoogleDrive)提取数据,并通过网页摘要注入持久化记忆。微软已于2026年8月18日修复。建议用户审查并断开非活跃应用连接,对AI助手链接保持谨慎。

今日重点漏洞包括PostgreSQL的CVE-2026-14669缓冲区溢出漏洞(CVSS8.8,有公开POC),OracleWebLogic的CVE-2026-60702漏洞(CVSS9.9,无POC)以及MongoDBBIConnectorODBCDriver的CVE-2026-19001溢出漏洞(CVSS9.8,无POC)。建议优先修复PostgreSQL漏洞,并关注Oracle和MongoDB的官方补丁。

CNVD本周共收录548个漏洞，高危301个，0day占比92%，涉及GoogleChrome、Android及MicrosoftOffice等多款主流产品，存在权限提升、代码执行等风险。建议用户及时安装厂商发布的补丁，重点关注高危漏洞修复，并加强日常安全监测与应急响应机制。

CVE-2026-22731是SpringBootActuator的身份认证绕过漏洞，影响4.0.0-4.0.3、3.5.0-3.5.11和3.4.0-3.4.14版本。漏洞源于additional-path配置项，当为HealthEndpoint设置额外路径如/healthz时，代码会硬拼接/\\*\\*实现前缀匹配，导致/healthz下所有子路径被匿名放行。利用条件包括引入Actuator依赖、配置自定义健康组并设置server前缀额外路径、在该路径下部署需认证的业务接口。修复方案是升级到修

CVE-2025-62593是RayDashboard的未授权RCE漏洞，CVSS评分9.4，影响2.52.0之前所有版本。攻击者无需认证即可通过HTTPAPI提交恶意任务执行任意命令。根因包括UA防护不足、DNSRebinding绕过同源策略及API无认证。建议立即升级至2.52.0或限制Dashboard监听地址与端口访问。

本文详细记录了从Web漏洞打点、获取边界权限、内网横向移动到最终控制域控的全链路攻击过程。作者利用Adminer和EmpireCMS的漏洞或弱口令进入后台，通过上传webshell获取初始权限。随后使用C2建立隧道，进行内网信息收集与横向移动，利用弱口令、暴力破解及DCSync攻击获取域控权限，并制作黄金票据实现持久化。文章强调了AI在信息收集中的辅助作用，并分享了实战中的踩坑经验与工具使用技巧。关键发现是：弱口令和未修补漏洞是主要突破口，内网横向依赖密码复用和凭据窃取。可操作建议是：加强密码策略、及时修

本文详细披露了某品牌智能门锁云端API存在水平越权漏洞，攻击者通过修改请求中的deviceId即可远程开锁。漏洞根因在于服务端未校验设备归属、设备ID可枚举且高危操作缺乏二次确认。文章提供了完整的攻击链分析、挖掘方法总结及防御建议，强调物联网安全中资源归属校验的重要性。

本文介绍plutoxAI智能渗透测试平台，集成AI与多种安全工具，支持自动化渗透编排和跨环境协同调度，覆盖Web安全、内网攻防等场景。文章强调仅限授权测试使用，但后半部分为付费星球广告，推广内部资源和漏洞情报。建议合法使用工具，警惕未授权攻击。

RayScan是一款Python编写的全栈Web漏洞扫描器，采用模块化架构，支持SQL注入、XSS、OA专项、WebShell、弱口令等检测，集成Nuclei12.5万PoC模板。具备流式爬测协同、断点恢复、AI误报复核等企业级功能，在Metasploitable2靶机验证发现83个漏洞。文档末尾包含广告推广内容，降低了技术价值。

8月20日CISA新增4个critical级在野利用漏洞，包括WindowsIKE未认证RCE(EPSS56%)、macOS屏幕共享认证绕过(已用于挖矿)、VMwarevCenter目录遍历和SharePoint弱认证。同时GitLabGraphQL未认证删库、WordPress认证绕过及Ray代码注入需立即处置。建议优先排查公网暴露的VPN网关、macOS主机、GitLab自托管实例和WordPress站点，并立即升级相关补丁。

本文为网络安全新手提供挖掘Redis未授权访问漏洞的实操教程。核心方法包括使用fofa资产测绘工具搜索公网暴露的Redis服务，利用未授权检测工具批量扫描，并通过redis-cli连接验证。漏洞成因是配置不当，攻击者可远程控制主机。建议新手按步骤操作，同时注意合法合规。

2026年7月底Coldcard硬件钱包因固件漏洞导致1816枚比特币被盗。随后比特币红队利用KimiK3等AI模型在27.5小时内扫描390个项目发现4962项安全发现。但防御者因AI实验室安全限制无法获得与攻击者同等的AI能力。行业发布公开信要求为安全研究人员提供受控的先进模型访问权限。

研究显示大模型发现零日漏洞能力虽强，但安全代码生成进展迟缓。44%的AI代码含OWASP漏洞，补丁成功修复率仅26%。攻防不对称源于防御验证难、训练数据差及注意力机制局限。专家建议企业勿用AI替代现有安全控制，应构建集成静态检测等工具的Harness工程体系以约束AI行为，并坚持人工监督，将开发者角色转向架构与治理层面。

微步XGPT发现WiresharkBluetoothAVRCP解析器堆缓冲区溢出漏洞CVE-2026-76917。漏洞因32位无符号累加器在分片载荷总长超过2³²时回绕，导致堆越界写。攻击者可诱使目标打开特制pcap或注入蓝牙流量触发，可能导致代码执行。影响Wireshark4.6.0至4.6.8及4.4.0至4.4.18版本。官方已发布补丁，建议升级或临时关闭btavrcp协议。

一个存在18年的nginx高危漏洞CVE-2026-42945被公开，攻击者无需身份验证即可远程执行恶意代码，利用rewrite模块的堆缓冲区溢出。影响Linux和Windows上的nginx，建议立即升级到1.31.3版本并检查日志、补丁、端口等。同网段服务器也需排查。

CVE-2025-24813是TomcatDefaultServlet处理partialPUT请求时临时文件命名逻辑不安全导致的远程代码执行漏洞。影响Tomcat11/10.1/9多个版本。利用需同时满足DefaultServlet启用写入权限、服务器启用partialPUT、基于文件的Session持久化等条件。建议检查配置确保readonly为true并避免使用文件Session持久化。

MongoDBBIConnectorODBC驱动披露五项漏洞，最严重的CVE-2026-19001评分为9.8。该漏洞因catalog函数处理超长名称时整数溢出导致固定缓冲区越界写入，可实现无认证远程代码执行，影响全平台旧版本但不涉及服务端。建议立即升级驱动至1.4.9，或临时在调用相关函数前严格校验并截断名称长度以降低风险。