ZONE.CI 全球网

CNNVD近期采集201个AI漏洞，超危31个高危89个。关键漏洞包括FlowiseAI代码注入、IBMLangflow代码注入及MLflow服务端请求伪造。建议立即升级相关组件至最新版本以修复漏洞。

国家信息安全漏洞库(CNNVD)近期(2026年8月5日至17日)采集了201个人工智能相关漏洞,其中超危31个,高危89个,中危81个。漏洞涉及FlowiseAI、IBM、MLflow等厂商项目,包括代码注入和服务端请求伪造等类型。报告建议用户关注并升级相关补丁以修复漏洞。

360漏洞挖掘智能体在开源AI应用平台Flowise中发现13个0day漏洞，涉及身份认证、权限控制等安全问题，攻击者可窃取AI模型密钥或篡改数据。Flowise作为广泛使用的AI基础设施，其安全风险已影响企业生产环境，凸显AI平台在复杂业务流中的安全盲区。建议政企用户尽快对AI应用基础设施开展安全评估。

CNNVD近期采集208个AI漏洞，含32个超危、92个高危、84个中危。主要涉及FlowiseAI、OpenClaw、MicrosoftAzureAIBotService等厂商，漏洞类型包括输入验证错误、权限控制问题和授权问题。厂商已发布补丁，建议用户及时更新。

FlowiseAI存在任意文件写入漏洞CVE-2025-26319。该平台是低代码LLM工作流工具，其文件上传校验机制可被攻击者通过特殊编码绕过，实现任意目录文件写入。攻击者可上传恶意文件、脚本或SSH密钥，获取服务器远程控制权。漏洞源于白名单API端点中路径拼接未处理特殊字符，导致目录穿越。建议用户升级或限制对相关API的访问。

Flowise3.0.13及更早版本存在高危认证绕过漏洞(CVE-2026-56271)，因企业版认证中间件使用硬编码默认JWT密钥且环境变量未配置时静默回退，攻击者可伪造管理员令牌获取平台最高权限。官方已在3.1.0版本修复，建议立即升级或配置自定义环境变量加固，并轮换敏感凭据。

CNNVD近期采集201个AI漏洞，超危31个高危89个。关键漏洞包括FlowiseAI代码注入、IBMLangflow代码注入及MLflow服务端请求伪造。建议立即升级相关组件至最新版本以修复漏洞。

国家信息安全漏洞库(CNNVD)近期(2026年8月5日至17日)采集了201个人工智能相关漏洞,其中超危31个,高危89个,中危81个。漏洞涉及FlowiseAI、IBM、MLflow等厂商项目,包括代码注入和服务端请求伪造等类型。报告建议用户关注并升级相关补丁以修复漏洞。

本周CNNVD采集安全漏洞1886个，整体修复率87.70%。重要漏洞包括GoogleGeminiCLI输入验证错误漏洞、DellWyseManagementSuite路径遍历漏洞及Linuxkernel拒绝服务漏洞。人工智能方面，FlowiseAIFlowise和MicrosoftAzureAIBotService存在高危漏洞。建议用户及时关注厂商补丁并修复。

CNNVD近期采集208个AI漏洞，含32个超危、92个高危、84个中危。主要涉及FlowiseAI、OpenClaw、MicrosoftAzureAIBotService等厂商，漏洞类型包括输入验证错误、权限控制问题和授权问题。厂商已发布补丁，建议用户及时更新。

FlowiseAI存在任意文件写入漏洞CVE-2025-26319。该平台是低代码LLM工作流工具，其文件上传校验机制可被攻击者通过特殊编码绕过，实现任意目录文件写入。攻击者可上传恶意文件、脚本或SSH密钥，获取服务器远程控制权。漏洞源于白名单API端点中路径拼接未处理特殊字符，导致目录穿越。建议用户升级或限制对相关API的访问。

Flowise3.0.13及更早版本存在高危认证绕过漏洞(CVE-2026-56271)，因企业版认证中间件使用硬编码默认JWT密钥且环境变量未配置时静默回退，攻击者可伪造管理员令牌获取平台最高权限。官方已在3.1.0版本修复，建议立即升级或配置自定义环境变量加固，并轮换敏感凭据。

CNNVD近期采集201个AI漏洞，超危31个高危89个。关键漏洞包括FlowiseAI代码注入、IBMLangflow代码注入及MLflow服务端请求伪造。建议立即升级相关组件至最新版本以修复漏洞。

国家信息安全漏洞库(CNNVD)近期(2026年8月5日至17日)采集了201个人工智能相关漏洞,其中超危31个,高危89个,中危81个。漏洞涉及FlowiseAI、IBM、MLflow等厂商项目,包括代码注入和服务端请求伪造等类型。报告建议用户关注并升级相关补丁以修复漏洞。

CNNVD近期采集201个AI漏洞，超危31个高危89个。关键漏洞包括FlowiseAI代码注入、IBMLangflow代码注入及MLflow服务端请求伪造。建议立即升级相关组件至最新版本以修复漏洞。

国家信息安全漏洞库(CNNVD)近期(2026年8月5日至17日)采集了201个人工智能相关漏洞,其中超危31个,高危89个,中危81个。漏洞涉及FlowiseAI、IBM、MLflow等厂商项目,包括代码注入和服务端请求伪造等类型。报告建议用户关注并升级相关补丁以修复漏洞。

国家信息安全漏洞库(CNNVD)近期(2026年8月5日至17日)采集了201个人工智能相关漏洞,其中超危31个,高危89个,中危81个。漏洞涉及FlowiseAI、IBM、MLflow等厂商项目,包括代码注入和服务端请求伪造等类型。报告建议用户关注并升级相关补丁以修复漏洞。

南京大学iSE实验室提出MIMIC方法，利用互信息引导知识蒸馏，从可能带后门的预训练编码器中提取干净学生网络，仅需不到5%干净数据即可在保持性能的同时显著降低攻击成功率，在两类攻击下均优于七种现有技术，成果发表于TIFS并开源。

CVE-2026-76460是影响CiscoISE的严重认证绕过漏洞，CVSS评分10.0，已被CISA列入KEV目录。漏洞源于API网关未强制执行JWT校验，攻击者可未认证获取管理员权限，甚至触达受限的root命令执行。升级是唯一修复手段，文章提供了各版本修复矩阵。

本文预警CiscoISE远程代码执行漏洞CVE-2026-20211，属高危级别。攻击者需具备高权限管理员凭据，通过特制序列化Java对象触发，可获用户级访问权限并提升至root。文档列出受影响版本范围，POC未公开，建议用户升级至官方安全版本修复。

本期安全风险汇总披露六个在野利用的高危漏洞与安全事件：CiscoISE认证绕过漏洞已入KEV需应急处置，OrkesConductor、IssabelPBX及REDCap均存在未认证RCE漏洞；朝鲜WaterPlum假招聘窃密行动感染3万台设备并窃取加密资产，勒索团伙N0n上架体育电商Fanatics。建议优先升级补丁、收敛未认证入口、隔离不可信代码并落实数据不可变备份与最小授权。

CiscoISE及ISE-PIC存在高危身份认证绕过漏洞（CVE-2026-76460），未认证远程攻击者可通过构造HTTP请求绕过Web管理界面认证，获取root权限并执行任意命令。影响多个版本，POC未公开。建议用户立即升级至官方安全版本以修复漏洞。

CVE-2026-76424是CiscoISE未授权文件上传导致远程命令执行与root提权的严重漏洞，影响3.5.0.527版本。攻击者可绕过登录通过/admin/files-upload上传恶意zip包并解压至/opt/CSCOcpm目录，植入JSP获得初始命令执行，再利用sudo免密码timeout命令完成提权。该漏洞利用无需任何凭证，但受限于源IP过滤策略，实际威胁范围限定于同网段、已获取容器权限或可直连管理端口的环境。漏洞已于Patch4修复，强烈建议受影响版本立即升级并核查网络边界。

本周国际网安资讯聚焦安全设备与管理平台漏洞密集爆发，CiscoISE零日漏洞遭在野利用，CheckPoint与SolarWinds产品曝严重漏洞。AI代理攻防升级，攻击者部署数百个AI代理攻陷440台PaperCut服务器。Gyazo数据泄露影响2360万用户。勒索软件攻击制造业与政府机构。AI安全赛道持续吸金，多家公司完成大额融资。建议企业紧急修补关键漏洞，强化AI安全防御。

南京大学iSE实验室提出基于互信息引导的预训练编码器后门缓解方法MIMIC，通过知识蒸馏与互信息定位良性知识，在不依赖下游任务且不牺牲模型性能的前提下清除后门。实验表明该方法在两类攻击下全面超越七种先进防御技术，攻击成功率大幅降低，成果发表于TIFS期刊。