ZONE.CI 全球网

本文为移动安全课程推广软文，由Khan安全团队发布，核心推广零基础入门移动安全漏洞挖掘课程。课程强调移动安全是未来趋势，涵盖APP测试、逆向分析、Frida、AI辅助漏洞挖掘等内容，价格1600元，9月1日开课，为期三个月。文章结构完整，但本质为商业推广，技术深度有限。

本期安全速报聚焦五大高危漏洞，其中CitrixNetScalerCVE-2026-8452已纳入KEV目录且存在在野利用，建议立即升级并排查WebShell；WordPressAvada主题零点击RCE影响百万级站点，需双升补丁；Zimbra邮件服务器与Linux内核提权漏洞亦被确认利用或PoC公开；Keycloak身份校验缺陷可致账户接管；微软EntraID满分漏洞虽已缓解但需关注审计日志。

本文预警Dockercp命令存在高危任意文件写入漏洞CVE-2026-17106，源于CLI解压归档时对动态文件结构校验缺失，攻击者利用竞态条件可覆盖主机任意文件，影响DockerEngine/CLI<29.7.0、Desktop<4.86.0及Sandboxes<0.38.0。建议升级至修复版本，避免从不受信任容器复制数据，复制前停止容器，以最低权限运行CLI。

JeecgBoot积木报表存在远程代码执行漏洞，编号QVD-2026-56805，已成功复现。该漏洞影响autoexport功能，攻击者可利用其执行任意代码。建议相关用户尽快升级至安全版本，并关注官方安全公告。参考奇安信CERT漏洞通告，本地环境已验证漏洞真实性。

微软开源UFO项目曝出CVE-2026-73296高危漏洞，CVSS评分9.4，影响3.0.8之前版本。漏洞源于MobileMCP服务缺失身份认证与权限校验，攻击者无需认证即可远程读取设备屏幕信息并操控设备。建议立即升级至3.0.8版本，限制服务仅监听本地地址，封禁8020与8021端口外部访问，并审计暴露资产与设备异常行为。

ServiceNow平台曝出四个安全漏洞，其中三个CVSS评分高达10.0，可被未认证攻击者利用执行任意代码或SQL注入，影响实例数据安全。漏洞涉及GraphQLAPI代码注入、不当访问控制及SQL注入，另有沙箱逃逸漏洞。厂商已发布补丁，建议自托管客户尽快应用修复，并关注潜在在野利用风险。

绿盟科技nsfocusAI漏洞挖掘智能体在CyberGym全球基准测试中以95.02%漏洞复现成功率获全球第一。其基于智谱GLM-5.3大模型，结合专家范式与USC理论框架，通过假设驱动、证据导向的闭环迭代提升漏洞挖掘效率。该成果展示了AI在安全攻防中的实战效能，并推动以AI对抗AI的安全体系建设。

泛微E-cology10.0存在未授权远程代码执行漏洞CVE-2026-22679，CVSS评分9.8，影响2026年3月12日前版本。漏洞位于特定接口，攻击者可执行任意命令。建议尽快升级补丁并配置安全设备拦截攻击。

CNVD周报显示本周共收录826个漏洞，其中高危469个，0day占比91%，涉及D-Link、OnlineCourse等漏洞。重点告警包括GoogleChrome、Zoom及华为产品存在高危漏洞，建议用户及时更新补丁。

CNVD发布上周关注度较高的产品安全漏洞周报，涵盖境外厂商如WordPress插件、ZoomRooms、GoogleChrome等产品的文件包含、任意文件删除、跨站脚本、权限提升及释放后重用等漏洞，以及境内厂商如映云科技Neuron、华为HarmonyOS和EMUI、Tenda路由器等产品的未授权访问、权限控制、缓冲区溢出及空指针解引用漏洞，建议相关用户关注官方公告并及时修复。

长亭安全应急响应中心披露JimuReport存在未授权远程代码执行漏洞，影响JimuReport2.5.0及以下版本与JeecgBoot3.9.3及以下版本。攻击者无需认证即可利用自动导出功能注入恶意表达式执行任意系统命令，可能导致服务器控制与数据泄露。官方已发布修复版本，建议用户立即升级至JimuReport2.5.1或JeecgBoot3.9.5，并可在网关或WAF层对相关接口增加强制认证作为临时缓解措施。

本文系统梳理登录入口的渗透测试思路，涵盖弱口令爆破、验证码绕过与轰炸、短信轰炸、XSS、SQL注入、RCE、SSRF、URL跳转、越权访问及支付漏洞等测试方法，提供具体payload与抓包重放技巧，并强调需在授权环境下测试，适用于SRC漏洞挖掘与攻防演练参考。

JeecgBoot积木报表组件auto/export接口存在未授权远程代码执行漏洞，由微步XGPT发现并报送官方。攻击者可远程执行任意命令完全控制系统，影响JeecgBootversion<=3.9.3及积木报表version<=2.5.0。官方已在v2.5.1修复，建议受影响用户尽快升级，并可通过防护设备拦截恶意请求特征作为临时缓解措施。

Composer曝出路径遍历漏洞CVE-2026-59944，恶意或被入侵的PHP包可借路径遍历或符号链接修改包目录外文件权限，在共享主机、多租户及CI环境导致敏感文件泄露并绕过旧防护。受影响1.0至2.10.2版本，已在2.10.3与2.2.30修复，建议尽快升级并避免复用不可信vendor目录。漏洞无RCE，涉及CWE-22、59、732。

CISA已将CVE-2019-1068（微软SQLServer远程代码执行漏洞）加入KEV目录，因其正被实际利用。该漏洞允许攻击者以服务账户权限执行代码，可能导致数据窃取、持久化与横向移动。CISA要求受影响机构于2026年8月29日前完成修复，并建议梳理SQLServer实例、安装更新、核查日志、检查异常账户并缩减暴露面。

JeecgBoot积木报表组件autoexport接口存在远程代码执行高危漏洞，影响积木报表<=2.5.0及JeecgBoot<=3.9.3，攻击者可利用恶意代码特征请求实施攻击。建议升级至JimuReportv2.5.1，并在防护设备添加拦截规则、收敛匿名放行配置以缓解风险。

奇安信CERT通告JeecgBoot积木报表autoexport接口存在未授权远程代码执行漏洞QVD-2026-56805，CVSS评分9.8高危，影响万级资产。漏洞源于参数值以等号开头时被表达式引擎按Excel公式解析，底层具备Groovy脚本能力且未过滤，攻击者可远程执行任意命令。建议升级JimuReport至2.5.1，并配置防护规则拦截恶意请求及收敛匿名放行。

Next.js存在CVE-2026-75604严重漏洞，CVSS评分9.9，影响Windows平台特定版本，可未授权远程命令执行。根因是缓存路径穿越未处理反斜杠，攻击者可读取ServerAction加密密钥并伪造请求执行任意命令。建议升级至15.5.24或16.3.3及以上版本，或停用增量静态缓存。

TendaHG10路由器存在CVE-2026-82542严重漏洞，CVSS评分10.0，无需认证即可远程代码执行，PoC已公开且暂无官方补丁。漏洞位于BoaWebServer的formIPv6Routing函数，可导致栈缓冲区溢出并获得Root权限。建议立即限制管理接口访问、禁用远程管理并监控攻击迹象，高风险环境考虑更换设备。

泛微E-cology10平台downLoadSyslog接口存在未授权任意文件读取漏洞，影响该平台用户。文章提供了FOFA查询语句和漏洞复现方法，建议用户及时打补丁修复。文章末尾推广了作者知识星球，提供批量扫描POC工具，需注意合规使用。