ZONE.CI 全球网

Langflow存在三个严重安全漏洞：CVE-2026-55255允许认证用户通过IDOR漏洞劫持他人流程；CVE-2026-55447通过恶意TAR文件实现任意文件读取和远程代码执行；CVE-2026-55450允许未认证文件上传导致存储耗尽和路径泄露。受影响版本为1.9.1之前存在IDOR和DoS漏洞，1.9.2之前存在文件读取缺陷。建议立即升级至1.9.2及以上版本。

JFrog在FFmpeg的MagicYUV解码器中发现CVE-2026-8461堆越界写入漏洞，CVSS评分8.8。攻击者可通过恶意视频文件实现任意代码执行，影响Jellyfin、Nextcloud等数百个应用。建议立即升级至FFmpeg8.1.2或使用–disable-decoder=magicyuv编译选项，JFrog官网提供七行补丁代码用于应急防护。

VoidShell-fe新版专为fork/exec型程序设计，通过案例演示对RootHawk提权工具进行混淆免杀处理，使28款杀毒引擎零检测率，工具需通过纷传平台获取并仅限合法安全测试使用

本文档详细介绍了HatiAI安全测试工具在跨平台兼容性、降级设计、审计合规等方面的实践经验。核心内容包括Windows/Linux/macOS三平台的编码配置、外部依赖故障时的降级机制、完整的审计日志规范，以及如何扩展新技能和MCP工具。文档还分析了LLM决策偏好、上下文窗口限制等挑战，并提出了多Agent协作、长期记忆等未来发展方向。

美国保险监督官协会(NAIC)遭遇大规模数据泄露，黑客获取超过3.1TB内部数据，包括26.4万份保险监管文件、客户订单记录、评级机构档案及AWS生产环境凭证。泄露涉及INSData监管平台和Vision评级服务等核心系统，涵盖2016-2024年多种险种数据。事件暴露金融监管数据与基础设施安全风险，建议加强云环境凭证管理和数据保护措施。

本文评述了USENIXSecurity2025论文《PoisonedRAG》，该研究系统揭示了检索增强生成（RAG）系统中的知识污染风险。文章指出，RAG在扩展模型知识的同时，也将安全边界延伸至外部知识库，攻击者可通过注入少量污染文本隐蔽地操纵模型输出。论文通过黑盒与白盒攻击实验验证了该风险，并指出现有防御措施存在局限。最后，文章建议RAG系统需加强知识入库治理、检索可信评估和生成证据约束，并呼吁将知识库安全纳入人工智能安全治理重点。

该文档介绍了作者为绕过安全软件内存防护而开发的几个BOF工具，包括检查360核晶防护状态、RDP端口状态及AV/EDR进程的功能。文档提供了具体的使用方法和测试结果，指出这些工具可有效规避某绒等杀软对CobaltStrikeexecute-assembly的拦截，并推荐参考相关GitHub项目进行二次开发。

ImageStrike是一款基于PyQT5开发的图像隐写综合工具，专为CTF竞赛设计，集成盲水印、二维码识别、LSB隐写等16种隐写分析功能。工具采用图形化界面支持批量处理，依赖Python3/OpenCV等环境，开源免费且持续更新。文档末尾包含网络安全证书推广与会员站广告内容。

本文详细介绍了BurpSuiteProfessional2026.6的安装与配置指南，重点说明必须使用JDK21而非内置Java26环境，提供完整激活流程包括注册机使用、手动激活步骤和日常启动方法，并包含常见问题解决方案和文件功能说明。

文档披露社会化分享插件bshare遭供应链投毒攻击事件，攻击者抢注过期域名篡改脚本，导致1.5万网站被植入暗链。攻击采用分时地域触发等反监测策略，存在升级为数据窃取等风险。建议立即排查引用、本地化资源、启用SRI校验并清理缓存。

本文详细解析JWT的结构与安全机制，重点分析None算法绕过、算法混淆攻击、KID参数注入（路径遍历/命令执行/SQL注入）及JKU参数劫持等常见漏洞。文档通过具体攻击场景和Python代码示例说明漏洞利用方法，并强调服务端应严格校验算法类型、密钥来源和外部参数，避免依赖客户端可控字段进行安全决策。

该文档是国家互联网信息办公室联合中国人民银行等五部门于2026年6月8日印发的《金融信息服务数据分类分级指南》通知，旨在指导金融机构开展数据分类分级和重要数据识别工作。文件依据《网络安全法》《数据安全法》等法律法规制定，要求各地相关部门结合实际贯彻执行，以提升金融信息服务数据安全水平。

Gogs0.14.3版本修复了三个严重的远程代码执行漏洞（CVSS评分9.4-10），包括路径遍历导致的RCE、rebase参数注入和符号链接文件写入漏洞。这些漏洞允许攻击者以git用户身份执行任意命令，影响所有0.14.3之前的版本。建议立即升级至0.14.3版本，临时可禁用开放注册并限制仓库创建权限。

本文分析了NginxUIv2.0.8及以下版本存在的未授权任意文件读取漏洞(CVE-2026-27944)。该漏洞源于备份下载接口/api/backup/download未做认证且未对文件路径进行安全校验，攻击者可通过路径穿越读取系统敏感文件如Nginx配置、SSL私钥、日志等。官方在v2.0.9版本中通过添加JWT认证和路径净化进行了修复，并提供了临时缓解措施。

谷歌于2026年6月10日发布Chrome安全更新，修复了Mojo组件整数溢出、Payments和AdFilter组件的释放后使用共三个高危漏洞。这些漏洞可能被恶意网页利用导致内存破坏或代码执行，影响149.0.7827.200/201之前的所有版本。建议用户通过设置中的关于页面立即更新浏览器以降低风险。

ApachePyFory反序列化策略绕过漏洞（CVE-2026-48207）属于高危漏洞，攻击者可通过恶意序列化数据绕过安全策略限制实现远程代码执行。影响版本为0.13.0至1.0.0，目前POC未公开。官方已发布修复版本，建议用户及时升级至安全版本。

GopherTrunk是一款纯Go语言开发的集群无线电扫描工具，支持协议全景扫描、深度解码解析、SDR硬件层操作及用户界面交互。项目明确声明仅用于安全研究学习，违规使用需自行承担法律责任。

LiteLLM代理库存在权限提升漏洞CVE-2026-47101，其/key/generate接口未校验allowed\\_routes字段权限，攻击者可通过构造含管理员路由的API密钥将普通用户权限提升至管理员，导致任意代码执行。影响版本为LiteLLM<1.83.14，目前POC已公开，建议升级至官方修复版本。

SwordfishSuite是一款受BurpSuite启发的现代化Web安全测试平台，具备智能拦截代理、集成APP分析、可扩展插件系统、GUI界面操作和流量数据转发等功能。该工具主要用于安全研究与学习，作者声明不承担非授权使用产生的法律责任。项目开源地址为GitHub平台。

CloudX是一款基于MontoyaAPI开发的BurpSuite插件，专门用于处理渗透测试中的加密请求和签名破解。该工具通过可配置规则自动完成解密展示和重加密转发，支持多层嵌套加解密流程（如Base64→AES→RSA）及签名参数表达式控制。需搭配新版BurpSuite使用，项目地址为。

本文详细描述了从配置错误的Grafana实例到发现507个Meta私有代码库的完整渗透测试链条。关键发现包括TLS证书通配符SAN暴露metafb.cloud影子环境、通过JavaScript包解析发现api.haloworld.xyz域、未经认证的GCP令牌端点漏洞，以及由此引发的GCPSecretManager→Vercel令牌→GitHub令牌的权限升级链。该漏洞最终获得15.7万美元赏金，展示了AI驱动侦察与人工判断结合的有效性。

CISA将Linux内核漏洞CVE-2022-0492列入已知被利用漏洞目录，该漏洞属于cgroupsv1release\\_agent功能的不当身份验证问题，允许攻击者提升权限并突破容器环境。漏洞在云原生环境中风险显著，CISA要求联邦机构于2026年6月5日前修复。建议组织及时更新内核、限制非特权命名空间访问，并监控cgroup相关异常活动。

2026年6月，暗网出现疑似从加密货币赌博平台Ubox后端数据库泄露的数据，包含约6万条用户凭证，具体有用户名、邮箱、MD5哈希密码、UboxID及备注，其中MD5哈希存在复用现象且部分邮箱为临时地址，暴露了该平台数据存储安全风险。

看雪学苑推出系统0day安全课程，聚焦主流企业防火墙漏洞挖掘。课程涵盖Fortinet、Cisco等10+厂商，详解30+高危漏洞，并引入自研LangGraph工作流实现半自动化挖掘，旨在培养学员独立挖掘0day、漏洞利用及自动化提效能力。

印度塔塔电子代工厂遭WorldLeaks黑客组织入侵，导致20.4万份共630GB涉密文件泄露至暗网。泄露内容包含苹果iPhone电路板检测标准、特斯拉供应链资料及员工护照等敏感信息。塔塔电子表示生产线未受影响，已启动应急机制并联合第三方追溯攻击源头。