ZONE.CI 全球网

深科特LEANMES系统SetDataSource.aspx接口存在SQL注入漏洞，攻击者可构造恶意SQL语句获取敏感信息或未授权操作。文章提供FOFA搜索语法与漏洞复现请求示例，并建议关闭互联网暴露面或升级至安全版本。文章末尾推广付费漏洞圈子，带有商业推广性质。

AnyDeskLinux8.0.3之前版本存在堆缓冲区溢出漏洞CVE-2026-109390，CVSS评分9.8，攻击者无需认证即可远程利用，POC已公开。漏洞源于mode-5流数据包长度参数处理不当，可导致以root权限执行任意命令。建议用户立即升级至8.0.3及以上版本修复。

微软2026年10月补丁日修复1413个漏洞，其中64个值得关注，含1个在野利用和36个紧急漏洞，影响WindowsShell、ADDS、ExchangeServer等产品。奇安信评级为高危，利用可能性高，建议用户尽快安装更新补丁以防范权限提升和远程代码执行等风险。

TanStack修复CVE-2026-102989反射型XSS漏洞，CVSS评分9.3，影响月下载量9800万的生态系统。攻击者可构造特制链接在应用域名下执行JavaScript，无需登录。受影响版本为1.143.12起至修复版本前，已发布补丁。建议升级至修复版本，临时可启用WAF和CSP缓解。

CNVD漏洞周报2026年第39、40期报告了866个信息安全漏洞，其中高危漏洞428个，中危漏洞372个，低危漏洞66个。报告重点分析了Oracle、Ivanti、Ubiquiti、Tenda等厂商的产品漏洞，并提醒用户及时更新补丁以防止安全事件。

探知安全10月14日预警高危漏洞，IvantiConnectSecure存在三零日链攻击链已致免认证root且提权未修复，微软补丁日1411个漏洞中CVE-2026-96951已在野利用，WordPressBricksforge插件CVSS满分漏洞补丁前即被大规模扫描，建议优先排查相关设备与站点，完成取证后升级并轮换凭证。

本文为2026年10月14日安全威胁速递，汇总微软多个高危漏洞（含CVE-2026-83688堆溢出等）需尽快补丁修复，Meta数据泄露影响1500人，OpenAI工程师窃听被捕，暗网泄露美国公民敏感信息，并提及AI自我复制与自主代理网络入侵风险等动态。建议优先修复已知漏洞并关注数据泄露风险。

本文分享一个从解密验签到任意用户登录的完整漏洞挖掘案例。系统使用HMAC-SM3签名及SM4-CBC多层编码防护，作者通过前端JS动态调试还原签名算法，利用Flask服务配合BurpSuite实现签名绕过。后续发现接口存在缓存漏洞，通过多次重放数据包获取在线用户session信息，结合会话滞留问题实现任意用户登录。文章提供了详细的技术分析过程和可操作的漏洞利用思路。

本文预警微软WindowsShell0day漏洞CVE-2026-96951，已在野利用，攻击者通过钓鱼邮件传播恶意文件，可绕过MOTW防护实现远程代码执行，CVSS评分8.8。建议立即安装2026年10月安全更新，并关注日志服务器发现异常行为。

本文介绍利用Workbuddy配合Skill技能库自动化测试短信验证码复用漏洞的完整流程，包括接口收集、自动化探测、人工复现验证、根因分析与修复方案，并强调合规测试要求。核心发现是验证码使用后未失效导致可重复登录，修复方案包括使用即销毁、有效期限制、请求频率限制和异常检测。

CapitalOne开源VulnHunter实测拆解，该工具以attacker-first思路从入口点分析漏洞，通过FalsificationEngine证伪降低误报，形成Hunt-Fix-Verify闭环，并将目标代码视为不可信输入实现最小权限。文章指出验证是瓶颈，建议安全团队关注其工程化设计与Agent权限治理思路。

文档公告两个高危漏洞：MicrosoftWindowsShell命令注入漏洞CVE-2026-96951，CVSS评分8.8，远程无需认证且已有公开PoC，被CISAKEV收录；IvantiConnectSecure身份验证绕过漏洞CVE-2026-104935，CVSS评分8.6，同样远程无需认证且有公开PoC，也被CISAKEV收录。文档提供修复建议及升级版本，建议相关用户尽快修复。

本文探讨AI应用供应链安全中AIBOM管理系统的价值。文章指出AI应用组成动态变化，传统静态清单管理方式不再适用，治理重点从能否扫出来转向能否说清楚。系统通过五个核心业务对象和五项核心能力，实现资产来源追溯、身份管理、依赖图谱、漏洞匹配与风险处置，让每次安全判断都有可核对的依据。

本文系统分享将漏洞挖掘流程封装为AISkill的完整实战经验，涵盖Skill目录结构、元数据配置、脚本与参考文档设计、打包分发及7个关键踩坑点。核心结论是Skill通过分层加载机制提升token效率，将固定流程固化为脚本以增强确定性，并强调PoC验证纪律必须明写以防AI过度利用。建议按场景例句驱动工作流设计，正文保持精简，细节下沉至references。

梆梆安全发布9月21日至10月4日安全隐私合规监管趋势及漏洞风险报告。多地通信管理局通报多款App违规收集个人信息，主要问题为未逐一列出收集信息目的、违规收集个人信息及未弹窗提示隐私政策。抽检441款Android应用，66.67%存在中高危漏洞，Java代码反编译风险居首，实用工具类App风险最高。

GitLabCE/EE存在严重RCE漏洞CVE-2026-97229，CVSS评分10.0，源于CI/CD正则表达式编译器整数溢出，攻击者利用恶意配置可远程执行代码。影响19.2至19.4多个版本，360已复现。建议立即升级至19.2.8、19.3.5或19.4.2及以上版本，并关注360产品规则更新。

GitLabCE/EE存在CVE-2026-97229远程代码执行漏洞，源于CI/CD正则表达式编译器整数溢出，攻击者可无凭据远程触发，以git账号执行任意命令，可能导致服务器被控制及源码凭据泄露。影响19.2至19.4多个版本，官方已发布修复版本，建议用户尽快升级，并可通过限制匿名访问等临时措施缓解风险。

奇安信CERT发布GitLab正则表达式编译器未授权远程代码执行漏洞(CVE-2026-97229)通告，CVSS评分9.9，影响十万级资产。攻击者可借CI/CD配置链路未授权执行任意代码，PoC已公开。建议升级至19.2.8、19.3.5、19.4.2及以上版本，并采取收缩暴露面、审计令牌等临时缓解措施。

该文档披露了atlassian存在任意文件读取漏洞CVE-2026-21589，影响范围包括atlassian产品。提供了FOFA空间测绘语法、GET请求POC路径及nuclei检测模板，建议联系厂商打补丁或升级版本，并增加WAF防护。内容为漏洞复现与修复建议，可操作性较强。

微软10月补丁星期二修复创纪录的1141个漏洞，含3个0day，其中1个已遭活跃利用，2个已公开。漏洞涵盖提权、RCE、信息泄露等多种类型，70个为严重级别。重点漏洞包括WindowsShell安全特性绕过漏洞、.NETFramework安全特性绕过漏洞、SharePoint提权漏洞及SQL服务器RCE漏洞等。建议用户尽快测试并部署补丁，优先处理已遭活跃利用的漏洞。