ZONE.CI 全球网

WordPress插件MStoreAPI存在认证绕过漏洞CVE-2026-13447，影响版本≤4.20.0，修复版本4.21.1。漏洞源于JWT伪造，未校验签名，可冒用任意手机号登录已有账号或创建新账号，CVSS评分9.8。建议立即升级至4.21.1或更高版本。

WordPress插件Forminator存在未认证任意短代码执行漏洞CVE-2026-92229，影响1.57.2及之前版本，1.57.3已修复。漏洞源于AJAX钩子未认证获取nonce，测验模块current_url参数经esc_url绕过后可注入短代码并执行。建议立即升级至1.57.3或更高版本。

CVE-2026-89055是WordPress插件CustomerReviewsforWooCommerce的严重漏洞，CVSS评分9.1。未认证攻击者可通过泄露的nonce和未校验附件归属的media字段，在删除评论时强制永久删除媒体库任意附件。影响所有版本，官方已发布修复。建议立即升级插件，关闭本地评论表单作为临时缓解，并备份媒体库。

本文系统解析RMI反序列化三大攻击面：Server端、注册中心Registry与Client端，并附完整复现过程。核心攻击点在于RMI通信的序列化与反序列化环节，可通过CC6链攻击Server端Object类型参数，利用CC1链加动态代理绕过类型限制攻击Registry的bind方法，或通过反射构造恶意调用攻击lookup方法。文章强调所有攻击仅限授权环境测试，并提供环境配置与完整payload代码，具备较强实战参考价值。

HDCTF2026官方WRITEUP详细介绍了多个Web安全挑战的解题过程，包括利用信息收集获取账号密码、SQL注入漏洞利用、PHP对象反序列化漏洞等，并提供了相应的自动化脚本。

本文探讨web3agent被注入攻击时如何守住签名权。实验搭建钱包agent，将攻击指令藏入代币名称等外部数据，诱导模型提交恶意授权请求。通过独立于agent的解码、模拟和签名检查机制（harness），在签名前核对用户原话与待签内容。40次攻击测试中35次诱导出恶意请求，但全部被拒绝，0笔签出。结论是需将用户输入、验证与签名绑定为原子SOP，在模型外部建立独立签名关口。

VeeamAgentforMicrosoftWindows存在严重本地权限提升漏洞CVE-2026-32996，低权限用户可利用命名管道会话ID重用获取SYSTEM权限，公开利用代码已出现。受影响版本为13.0.1.2067及更早，已修复于13.0.3.1220。建议升级并限制本地访问、监控可疑活动。

文章总结： WordPress插件Forminator存在未认证任意短代码执行漏洞CVE-2026-92229，影响1.57.2及之前版本，1.57.3已修复。

文章总结： PortSwigger研究总监JamesKettle通过构建自主AI研究系统HTTPTerminator，从RFC提取灵感生成攻击向量，在3万个授权

文章总结： WordPress插件MStoreAPI存在认证绕过漏洞CVE-2026-13447，影响版本≤4.20.0，修复版本4.21.1。漏洞源于JWT伪

文章总结： PortSwigger研究总监JamesKettle通过构建自主AI研究系统HTTPTerminator，从RFC提取灵感生成攻击向量，在3万个授权

文章总结： 本文分析macOS提权漏洞CVE-2026-43783，影响DesktopServicesHelper组件，源于XPC请求RepairPermiss

文章总结： 本文介绍CypherMind，一款基于Llama-3.1-8B微调、量化后仅6.4GB、可离线部署的CTF专用大模型。文章详述其模型档案、四大核心能

文章总结： 2026年9月1日网络安全动态涵盖四起事件：JeecgBoot积木报表存在未认证远程代码执行漏洞，建议更新至最新版本；ValleyRAT后门利用DL

文章总结： ForminatorForms插件存在CVE-2026-15748严重漏洞，CVSS评分9.8，未经身份验证的攻击者可通过恶意PHP文件上传实现远程

文章总结： 本文介绍CypherMind，一个基于Llama-3.1-8B-Instruct微调、专为CTF设计的本地化AI模型，训练数据涵盖CTF解题报告、漏

文章总结： 美国得州启动watershed250项目加强基层水务网络安全。同时多起安全事件：医疗巨头麦克森遭勒索攻击致2.84亿条患者数据泄露；微软警告Term

文章总结： 微软披露新型钓鱼攻击变种TerminalFix，利用虚假Cloudflare验证页面诱导用户在WindowsTerminal或PowerShell粘

文章总结： 本日报汇总2026年8月30日全球安全动态，涵盖WordPress插件及主题的5个严重漏洞，可致网站接管或远程代码执行，建议及时更新组件；另披露Te

文章总结： CNNVD发布2026年第35期信息安全漏洞周报，本周新增安全漏洞2265个，较上周有所下降。谷歌公司漏洞最多达333个，授权问题类漏洞占比最大达1

文章总结： 该文档是AIAgentSkills安全开发指南，指出恶意Skills存在严重安全风险，攻击手法包括Prompt注入、权限劫持等。防御需从安全编码规范

文章总结： 该文档是AIAgentSkills安全开发指南，指出恶意Skills在开发工具和数据分析中集中投毒，攻击手法包括Prompt注入、权限配置劫持、模式

文章总结： 该文档是AIAgentSkills安全开发指南，指出恶意Skills在开发工具和数据分析中集中投毒，攻击手法包括Prompt注入、权限配置劫持、模式

文章总结： 该文档是第九届宁波市网络安全大赛初赛的Writeup，涵盖Web、Misc和DataSecurity赛题。Web1利用bcrypt的72字节限制进行

文章总结： 该文档是AIAgentSkills安全开发指南，指出恶意Skills存在严重安全风险，攻击手法包括Prompt注入、权限劫持等。防御需从安全编码规范