ZONE.CI 全球网

CVE-2026-71479是NewAPI开源AIAPI网关中的一个严重整数溢出漏洞(CVSS9.1),允许攻击者通过精心构造的请求将极小余额虚增为巨额。该漏洞影响1.0.0-rc.17及之前版本,已确认存在野外利用。攻击原理是利用无符号整数溢出导致扣费变为负数,从而充值余额。建议立即升级至1.0.0-rc.18或更高版本,并检查日志中是否存在负数消费记录及异常虚增的账户余额。

CVE-2026-66804是Windows跨设备服务中的权限提升漏洞，普通用户可通过创建缺失的ProgramData目录并植入恶意DLL获取SYSTEM权限。PoC已公开，微软已在2026年8月补丁中修复。建议立即安装更新并监控异常DLL文件。

GeoServer存在一个未经身份验证的SQL注入漏洞(CVSS9.8),正被野外利用且PoC已公开。该漏洞存在于jsonArrayContains过滤函数中,影响PostGIS数据存储,可导致数据泄露甚至远程代码执行。建议立即升级至GeoServer2.27.6/2.28.5/3.0.1或GeoTools33.6/34.5/35.1版本,并限制公开访问、使用低权限数据库账户。

奇安信CERT发布高危漏洞通告，PostgreSQL的datetime_to_char\\_body()函数存在堆缓冲区溢出，可导致远程代码执行(CVE-2026-14669)。攻击者需获取数据库认证权限，PoC已公开。影响版本包括14.x至18.x系列。建议立即更新至修复版本或采取临时缓解措施。

本文介绍了DeepSeek开源Agent框架Harness的终端插件dsh-TUI。它通过npx命令启动，提供类似ClaudeCode的交互体验，支持斜杠命令、双击Esc回退分支及长会话渲染优化，底层完全复用Harness能力。建议有Node环境的终端用户尝试安装，但需注意环境配置门槛与上游快速更迭的适配风险，目前更适合作尝鲜工具。

暗网分析师披露了2019年泄露的美国情报机构承包商数据库，包含政府实体和供应商信息，如圣劳伦斯海道开发公司和运输安全管理局的数据。该事件提醒相关机构需加强数据安全防护，检查历史泄露数据是否涉及自身，并采取补救措施。

DockerCopyEscape漏洞(CVE-2026-17106,CVSS7.1)使dockercp命令成为主机文件写入攻击原语,可导致代码执行。攻击利用容器内文件重命名与符号链接替换的竞态条件,绕过路径检查。影响DockerEngine29.7.2前及Desktop4.86.0前版本。建议立即升级至修复版本,临时措施包括复制前停止容器并避免sudo操作。

本文分析了Sorry勒索软件，该变种与TellYouThePass关联，利用RCE漏洞自动化入侵，借助云存储投递载荷。其停止数据库服务后采用RSA与AES混合加密，并生成指纹回传C2。建议企业及时修补漏洞、隔离备份，感染后需立即断网隔离、保留镜像取证并从备份恢复。

OpenAI总裁GregBrockman警告企业CISO需积极引入Agent应对AI攻击能力提升，但该建议被指带有自我推销色彩且缺乏问责。安全专家建议逐步部署Agent并设置爆炸半径限制与可逆操作机制，同时指出整个AI行业面临安全治理与商业化之间的张力。

文档指出AI安全的核心问题并非模型算法，而是AIAgent的身份与访问控制。IBM报告显示92%的AI安全事件源于缺乏访问控制，提示词注入的破坏力取决于Agent权限边界。企业应建立机器身份清单，对AIAgent执行最小权限原则，并将AI模型按核心业务系统保护，以限制攻击影响范围。

本文解析OWASPLLM10无限制消耗风险，指出其核心是通过合法高耗请求导致算力与账单失控。文章拆解算力、金钱、配额与上下文四大消耗面，提供沙箱复现方法，并给出基于速率限制、配额管理与成本监控的四层检测方案及多平台SIEM告警规则。针对误报提出降噪策略，建议通过设定递归深度、Token上限与预算硬护栏进行加固，最后梳理了LLMTop10全链路攻防图谱。

本文介绍了一种基于CLSID劫持和COM对象的Chrome与msedge持久化技术，使用LdrCallEnclave回调及WinHTTP实现载荷加载，声称运行稳定。但文章实质为软文广告，主要推广付费圈子，提供大量免杀工具和红队技术文章，技术细节有限，可操作性低。

文档标题为’为什么不用linux系统’，但内容仅包含图片和阅读提示，未提供具体技术分析或结论。

本文档是一份面向开发者的渗透测试实践笔记，核心内容包含一个可复用的C#工具类PenTestingHelper，覆盖侦察、安全头检查、Cookie标志验证、CSRF保护测试和模糊测试五个环节。文档还提供了安全响应头中间件的配置代码，并对比了安全与脆弱应用的结果。主要结论是开发者可通过集成这些工具和配置来主动发现并修复Web应用中的常见安全缺陷。

本文探讨AI对软件开发的影响，认为AI不是取代开发者，而是提升抽象层级。开发者正从写代码转向定义意图、编排系统、承担责任。实现成本下降使所有权价值上升，系统从确定性走向概率性。建议开发者提升架构决策和系统设计能力，以在更高层级创造价值。

密探2.0是一款基于Rust+Tauri重构的渗透测试工具，集成资产测绘、漏洞检测、云安全等50余项能力，支持断点续扫、聚合测绘、Heapdump分析及小程序反编译等核心功能。工具提供VIP订阅服务，可通过提交BUG、贡献资源或推广活动免费获取。作者强调需在授权下使用，并附有详细的致谢与反馈渠道。

该文档是红客攻防实验室发布的推广文章，宣称免费赠送1000本网络安全电子书，覆盖渗透测试、逆向工程、CTF等多个方向，并附有实战指南。文章通过吸引用户扫描二维码添加好友获取资源，属于典型的软文广告，需警惕个人信息泄露风险。

文档介绍了Nextrap蜜罐市场新增的七个开源蜜罐模板，涵盖个人理财、协作套件、网盘管理、书签管理、HTML校验、数据库文档和Web框架。这些工具强调自托管和数据隐私，适合安全团队部署以模拟真实服务，监控攻击行为。

GB/T15852.2-2024规定MAC值不小于32位，基于四重考量：安全上使瞎猜概率降至十亿分之一；工程上对齐字长与字节边界；延续3G至5G的32位MAC电信惯例；并兼容祖冲之128-EIA3输出。建议将32位仅作合规底线，高价值数据应选96位以上MAC。

本文分析了PHP中trim函数与is_numeric/intval函数在处理formfeed字符(\\\\f,0x0C)时的行为不一致性。trim不将formfeed视为空白字符，而is_numeric和intval则将其视为空白并自动去除。这种不一致性可被利用绕过安全检查，例如在角色验证场景中通过传入包含formfeed的字符串来绕过trim的过滤，同时通过is\\_numeric和intval的检查，最终授予管理员权限。文章提供了具体的代码示例和利用方法，强调了安全审计中需关注此类细节差异

密探2.0是一款用Rust+Tauri重构的渗透测试工具，集成资产测绘、漏洞检测、云安全等50余项功能，支持全平台。核心亮点包括项目级数据管理、聚合测绘、断点续扫、Heapdump分析、小程序反编译及MCPServer。工具提供VIP订阅，可通过提交Bug、贡献资源或推广免费获取。

紫光展锐多个5GSoC平台（T612/T616/T606/T7250）的modem固件存在0day远程代码执行漏洞（CWE-674不受控递归）。攻击者通过蜂窝网络发送特制SIPINVITE消息，利用SDP中acap属性解码函数无递归深度限制触发栈溢出，可在受害modem上执行任意代码。目前官方未发布补丁，建议用户保持固件最新并避免接入不可信网络。

密探2.0是一款基于Rust+Tauri重构的渗透测试工具，集成资产测绘、漏洞检测、云安全等50余项能力，支持断点续扫、MCPServer及全平台运行。文章强调其项目级数据管理与聚合测绘功能，并提供VIP订阅模式，用户可通过贡献或推广免费获取。工具仅供授权测试使用，开发者明确要求用户遵守法律法规。

作者吐槽某名为东湖论枪的Agent大赛沦为烧钱比拼，认为比赛机制不合理，胜负完全取决于参赛者投入的资金量而非技术实力，资金充足者能让Agent运行更久并完成更多题目，对此表示强烈失望。

GitLab紧急发布非周期性安全更新，修复严重漏洞CVE-2026-19478（CVSS9.4）和高危漏洞CVE-2026-19650（CVSS7.1）。前者允许未经身份验证的攻击者通过GraphQL指令远程修改或删除公共项目及用户数据，无需用户交互；后者为GraphQL多路复用查询处理程序中的CSRF漏洞。这些漏洞仅影响自托管版本，且18.2至18.10分支将不会获得补丁。自托管用户应立即升级至19.2.4、19.1.6、19.0.8或18.11.11版本以规避风险，SaaS用户无需操作。目前暂无公开利