ZONE.CI 全球网

本周漏洞周报披露了四个高危漏洞：MozillaFirefox和Thunderbird存在代码执行漏洞CVE-2026-0892影响147以下版本；MicrosoftOffice存在代码执行漏洞CVE-2026-42831影响多个版本；FirefoxJIT组件存在代码执行漏洞CVE-2026-8389影响150.0.3以下版本；IBMWebSphereApplicationServer存在SAML组件漏洞CVE-2026-9330可导致远程代码执行。所有漏洞均建议及时升级到最新版本进行修复。

CVE-2026-8971是FirefoxJAR组件中第三次出现的同源策略绕过漏洞，攻击者通过URL路径中嵌入空字节实现文件名欺骗和MIME类型混淆。该漏洞允许恶意页面利用扩展的web_accessible_resources重定向信任边界，导致浏览器错误归属资源来源。Mozilla在五天内修复漏洞，根本教训在于需在输入解析层全局拒绝空字节而非仅修补下游消费者。

Mozilla通过自研AIAgent框架结合Mythos模型实现Firefox漏洞挖掘自动化，采用四阶段流程：优先级排序（评估文件风险等级）、狩猎（Agent持续生成测试用例）、验证（防止AI作弊）、修复（生成补丁并由人工审核）。该实践表明工程系统成熟度比模型能力更重要，单月修复423个漏洞包括潜藏15年的内存安全问题。

上周(2026年6月29日至7月5日)关注度较高的产品安全漏洞公告由CNVD发布。境外厂商漏洞涉及GoogleChrome、OracleWebCenterSites、FortinetFortiSandbox、Mozilla产品及Linuxkernel，涵盖内存错误引用、权限控制、OS命令注入、逻辑错误及内存破坏等问题。境内厂商漏洞包括HuaweiHarmonyOS、D-LinkDIR-513及TendaW15E，存在路径遍历、缓冲区溢出及输入验证错误。建议用户及时关注并修复相关漏洞以保障系统安全。

雷神众测发布2026.6.29-7.5漏洞周报，涵盖四个高危漏洞。包括Mozilla产品代码执行漏洞(CVE-2026-12290)、FortinetFortiNDRSQL注入漏洞(CVE-2026-25088)、GooglePixel远程代码执行漏洞(CVE-2026-0164)及FortinetFortiSandboxOS命令注入漏洞(CVE-2026-25089)。所有漏洞均建议用户及时升级至最新版本以修复风险。

雷神众测漏洞周报(2026.7.6-7.12)披露了四个高危漏洞:统信UOSDesktop20Professional存在本地提权漏洞,攻击者可提升权限;多款Mozilla产品(Thunderbird、FirefoxESR)存在代码执行漏洞(CVE-2026-12327);Microsoft365Copilot存在命令注入漏洞(CVE-2026-42895);MicrosoftOfficeSharePoint存在代码问题漏洞(CVE-2026-45659)。建议用户及时测试并升级到最新版本以修复漏洞。

本文深入解析Web缓存投毒攻击的高级利用手法，展示如何通过X-Forwarded-Host等未键控输入配合缓存机制，实现DOMXSS触发、劫持FirefoxSHIELD系统影响数千万用户、SaaS平台路由混淆、OpenGraph分享链接掉包等攻击链。文章强调缓存投毒可与其他漏洞组合成致命攻击，并提供多个真实案例与利用思路，对红队与Web安全研究具有较高实战参考价值。

印度eMudhra公司因操作失误生成8张含极低熵密钥的中间证书，密钥仅含3至8位熵，可被轻易破解。Cloudflare于2026年10月19日发现私钥泄露，主流浏览器已切断信任。目前无证据表明被利用，eMudhra承认人为失误并排查中。建议用户更新浏览器和系统。

印度证书颁发机构eMudhra的8张中间证书私钥泄露，影响全球HTTPS安全，引发浏览器紧急封锁，eMudhra股价大跌并退出全球SSL/TLS证书业务。事件源于密钥生成过程中的脚本错误，导致私钥强度极低，可轻易破解。

印度证书机构emudhra的8张中间证书私钥因生成环节缺陷被外部研究者秒破，密钥随机性仅一个字节，影响Chrome、Mozilla等信任链，涉及TLS和代码签名证书。Mozilla紧急移除对根证书信任，事件暴露密钥生成流程严重漏洞，需加强HSM使用与审计。

本周漏洞周报披露了四个高危漏洞：MozillaFirefox和Thunderbird存在代码执行漏洞CVE-2026-0892影响147以下版本；MicrosoftOffice存在代码执行漏洞CVE-2026-42831影响多个版本；FirefoxJIT组件存在代码执行漏洞CVE-2026-8389影响150.0.3以下版本；IBMWebSphereApplicationServer存在SAML组件漏洞CVE-2026-9330可导致远程代码执行。所有漏洞均建议及时升级到最新版本进行修复。

CVE-2026-8971是FirefoxJAR组件中第三次出现的同源策略绕过漏洞，攻击者通过URL路径中嵌入空字节实现文件名欺骗和MIME类型混淆。该漏洞允许恶意页面利用扩展的web_accessible_resources重定向信任边界，导致浏览器错误归属资源来源。Mozilla在五天内修复漏洞，根本教训在于需在输入解析层全局拒绝空字节而非仅修补下游消费者。

Mozilla通过自研AIAgent框架结合Mythos模型实现Firefox漏洞挖掘自动化，采用四阶段流程：优先级排序（评估文件风险等级）、狩猎（Agent持续生成测试用例）、验证（防止AI作弊）、修复（生成补丁并由人工审核）。该实践表明工程系统成熟度比模型能力更重要，单月修复423个漏洞包括潜藏15年的内存安全问题。

上周(2026年6月29日至7月5日)关注度较高的产品安全漏洞公告由CNVD发布。境外厂商漏洞涉及GoogleChrome、OracleWebCenterSites、FortinetFortiSandbox、Mozilla产品及Linuxkernel，涵盖内存错误引用、权限控制、OS命令注入、逻辑错误及内存破坏等问题。境内厂商漏洞包括HuaweiHarmonyOS、D-LinkDIR-513及TendaW15E，存在路径遍历、缓冲区溢出及输入验证错误。建议用户及时关注并修复相关漏洞以保障系统安全。

雷神众测发布2026.6.29-7.5漏洞周报，涵盖四个高危漏洞。包括Mozilla产品代码执行漏洞(CVE-2026-12290)、FortinetFortiNDRSQL注入漏洞(CVE-2026-25088)、GooglePixel远程代码执行漏洞(CVE-2026-0164)及FortinetFortiSandboxOS命令注入漏洞(CVE-2026-25089)。所有漏洞均建议用户及时升级至最新版本以修复风险。

雷神众测漏洞周报(2026.7.6-7.12)披露了四个高危漏洞:统信UOSDesktop20Professional存在本地提权漏洞,攻击者可提升权限;多款Mozilla产品(Thunderbird、FirefoxESR)存在代码执行漏洞(CVE-2026-12327);Microsoft365Copilot存在命令注入漏洞(CVE-2026-42895);MicrosoftOfficeSharePoint存在代码问题漏洞(CVE-2026-45659)。建议用户及时测试并升级到最新版本以修复漏洞。

本文剖析MozillaTaskcluster未授权RCE漏洞。攻击者利用GraphQL端点未验证的filter参数，触发sift库的where操作符执行任意代码，导致Firefox构建服务器沦陷并泄露数据库与OAuth凭据。文章建议弃用sift或采用白名单限制操作符，并强调需严格审计匿名角色权限及修复生产环境占位符密钥。

印度证书机构emudhra的8张中间证书私钥因生成环节缺陷被外部研究者秒破，密钥随机性仅一个字节，影响Chrome、Mozilla等信任链，涉及TLS和代码签名证书。Mozilla紧急移除对根证书信任，事件暴露密钥生成流程严重漏洞，需加强HSM使用与审计。

本周漏洞周报披露了四个高危漏洞：MozillaFirefox和Thunderbird存在代码执行漏洞CVE-2026-0892影响147以下版本；MicrosoftOffice存在代码执行漏洞CVE-2026-42831影响多个版本；FirefoxJIT组件存在代码执行漏洞CVE-2026-8389影响150.0.3以下版本；IBMWebSphereApplicationServer存在SAML组件漏洞CVE-2026-9330可导致远程代码执行。所有漏洞均建议及时升级到最新版本进行修复。

CVE-2026-8971是FirefoxJAR组件中第三次出现的同源策略绕过漏洞，攻击者通过URL路径中嵌入空字节实现文件名欺骗和MIME类型混淆。该漏洞允许恶意页面利用扩展的web_accessible_resources重定向信任边界，导致浏览器错误归属资源来源。Mozilla在五天内修复漏洞，根本教训在于需在输入解析层全局拒绝空字节而非仅修补下游消费者。

Mozilla通过自研AIAgent框架结合Mythos模型实现Firefox漏洞挖掘自动化，采用四阶段流程：优先级排序（评估文件风险等级）、狩猎（Agent持续生成测试用例）、验证（防止AI作弊）、修复（生成补丁并由人工审核）。该实践表明工程系统成熟度比模型能力更重要，单月修复423个漏洞包括潜藏15年的内存安全问题。

上周(2026年6月29日至7月5日)关注度较高的产品安全漏洞公告由CNVD发布。境外厂商漏洞涉及GoogleChrome、OracleWebCenterSites、FortinetFortiSandbox、Mozilla产品及Linuxkernel，涵盖内存错误引用、权限控制、OS命令注入、逻辑错误及内存破坏等问题。境内厂商漏洞包括HuaweiHarmonyOS、D-LinkDIR-513及TendaW15E，存在路径遍历、缓冲区溢出及输入验证错误。建议用户及时关注并修复相关漏洞以保障系统安全。

雷神众测发布2026.6.29-7.5漏洞周报，涵盖四个高危漏洞。包括Mozilla产品代码执行漏洞(CVE-2026-12290)、FortinetFortiNDRSQL注入漏洞(CVE-2026-25088)、GooglePixel远程代码执行漏洞(CVE-2026-0164)及FortinetFortiSandboxOS命令注入漏洞(CVE-2026-25089)。所有漏洞均建议用户及时升级至最新版本以修复风险。

雷神众测漏洞周报(2026.7.6-7.12)披露了四个高危漏洞:统信UOSDesktop20Professional存在本地提权漏洞,攻击者可提升权限;多款Mozilla产品(Thunderbird、FirefoxESR)存在代码执行漏洞(CVE-2026-12327);Microsoft365Copilot存在命令注入漏洞(CVE-2026-42895);MicrosoftOfficeSharePoint存在代码问题漏洞(CVE-2026-45659)。建议用户及时测试并升级到最新版本以修复漏洞。

本文剖析MozillaTaskcluster未授权RCE漏洞。攻击者利用GraphQL端点未验证的filter参数，触发sift库的where操作符执行任意代码，导致Firefox构建服务器沦陷并泄露数据库与OAuth凭据。文章建议弃用sift或采用白名单限制操作符，并强调需严格审计匿名角色权限及修复生产环境占位符密钥。