ZONE.CI 全球网

Composer曝出路径遍历漏洞CVE-2026-59944，恶意或被入侵的PHP包可借路径遍历或符号链接修改包目录外文件权限，在共享主机、多租户及CI环境导致敏感文件泄露并绕过旧防护。受影响1.0至2.10.2版本，已在2.10.3与2.2.30修复，建议尽快升级并避免复用不可信vendor目录。漏洞无RCE，涉及CWE-22、59、732。

本文为宁波市第九届网络安全大赛初赛WriteUp，覆盖Web、Pwn、Misc、Crypto、Reverse五大方向共11道题。核心考点包括bcrypt72字节截断SQL注入、Shiro正则绕过、HouseofApple2堆利用、VM逃逸、USB流量分析、Acropalypse漏洞、Franklin-Reiter攻击及Unity逆向等，每题附详细利用链与踩坑提示，对CTF学习具有较高参考价值。

该方案以网络安全法、数据安全法、个人信息保护法为合规基准，依托ISO/IEC27001框架构建企业信息安全管理体系，规划12个月分四阶段实施。方案涵盖组织架构搭建、资产梳理与风险管控、制度体系建设、人员培训、应急管理及审计合规六大任务，设定加密覆盖率100%、漏洞72小时修复率100%等量化指标，并配套预算保障与考核机制，具备较强可操作性。

JeecgBoot积木报表组件autoexport接口存在远程代码执行高危漏洞，影响积木报表<=2.5.0及JeecgBoot<=3.9.3，攻击者可利用恶意代码特征请求实施攻击。建议升级至JimuReportv2.5.1，并在防护设备添加拦截规则、收敛匿名放行配置以缓解风险。

文章指出AI与Agent将接管安全执行工作，传统按域划分的组织架构将失效，未来安全组织将收敛为三类核心角色：负责构建Agent能力的安全架构与工程、负责业务风险决策的BISO、以及负责体系对抗验证的AI红队。建议企业从人力调度转向四层责任系统，明确人机边界，重构岗位与考核体系。

Next.js存在CVE-2026-75604严重漏洞，CVSS评分9.9，影响Windows平台特定版本，可未授权远程命令执行。根因是缓存路径穿越未处理反斜杠，攻击者可读取ServerAction加密密钥并伪造请求执行任意命令。建议升级至15.5.24或16.3.3及以上版本，或停用增量静态缓存。

奇安信CERT通告JeecgBoot积木报表autoexport接口存在未授权远程代码执行漏洞QVD-2026-56805，CVSS评分9.8高危，影响万级资产。漏洞源于参数值以等号开头时被表达式引擎按Excel公式解析，底层具备Groovy脚本能力且未过滤，攻击者可远程执行任意命令。建议升级JimuReport至2.5.1，并配置防护规则拦截恶意请求及收敛匿名放行。

sd-webui-prompt-all-in-one扩展存在无需认证的路径穿越漏洞，可读取服务器任意文件，CVSS评分9.1。漏洞源于get\\_csv接口未过滤路径参数，作者已停止维护且无补丁。建议卸载扩展或通过反向代理拦截漏洞路径，并加强SDWebUI访问认证。

本文系统介绍了利用GitHub搜索语法挖掘企业敏感信息泄露的方法论，包括组合关键词、文件类型过滤、路径过滤及组织级搜索等基础语法，并推荐Gitleaks、TruffleHog、GitHound等自动化监控工具链。通过三个实战案例展示了从公开仓库中发现数据库密码、云服务密钥及内部APIToken的过程，分析了泄露泛滥原因，并为企业提供了强制私有仓库、CI/CD集成扫描、定期巡检等防御建议。

TendaHG10路由器存在CVE-2026-82542严重漏洞，CVSS评分10.0，无需认证即可远程代码执行，PoC已公开且暂无官方补丁。漏洞位于BoaWebServer的formIPv6Routing函数，可导致栈缓冲区溢出并获得Root权限。建议立即限制管理接口访问、禁用远程管理并监控攻击迹象，高风险环境考虑更换设备。

深圳智博通电子多款路由器固件被曝存在两套出厂后门speakingstone与darklantern，均可在无认证情况下远程获取root权限。darklantern监听UDP9992端口，公网扫描发现203台暴露设备；speakingstone主动外联C2并支持执行命令、窃取宽带凭证等。建议用户检查MAC前缀、更换设备，企业应监控相关流量并验证固件来源。

本文披露新中新中小学智慧校园信息管理系统PSE存在任意文件上传漏洞，攻击者可获取服务器权限。文章提供FOFA搜索语句、具体上传payload及批量检测POC代码，并附免责声明强调需授权测试。内容具可操作性，但含公众号推广信息。

本文为暗网动态汇总：墨西哥科利马州检察长办公室12847份公职人员财产申报PDF泄露，含身份与资产隐私；保加利亚保险公司4.47万名老年客户约220万条信息外泄；乌克兰放射源采购合同文件流出。另报道曼彻斯特机场集团旅客数据被窃及PaperCutNG/MF漏洞遭零日利用，建议相关机构及时修补漏洞并强化数据防护。

作者逆向分析头条创作后台12个接口，用curl\\_cffi伪装Chrome指纹绕过argus风控，发现接口层零签名全为GET请求。通过逆向JS定位参数，实测6篇图文全量入库，趋势数据有8个月窗口限制。文章强调参数应以抓包为准，并提供了完整的技术方案与降级策略。

调查揭露德国AfD政客AndreasMaul通过塞尔维亚空壳公司SmartDigitalIdeas，协助被制裁的俄罗斯防弹主机商AezaGroup规避制裁转移IP资源，底层IP来自伊朗科技部控制机构，形成横跨多国的隐蔽利益链。报道展示了防弹主机行业通过多层空壳公司、跨国IP转移规避追踪的典型手法，凸显了开源情报在追踪网络犯罪基础设施中的价值。

本文通过作者亲身经历，揭示国密标准GM/T0018中SDF\\_Encrypt函数不做数据填充的特性。该函数是纯分组运算引擎，要求明文长度必须为16字节整数倍，填充责任在调用者。作者详细演示了PKCS#7填充实现方法，强调填充值等于补位个数，即使数据长度恰好为16的整数倍也需补一整块16字节，解密后需按约定去除填充。文章提醒开发者勿默认其行为与OpenSSL等库一致，具有很强实践指导价值。

快手在流量红利趋缓背景下，转向存量用户价值经营，通过多元圈层、短直一体、创作者扶持计划及AI工具提升内容与交易效率。二季度营收355亿元同比增1.4%，直播收入下降13.5%，可灵AI收入超8.5亿元增200%。平台强调长期创作者沉淀与私域变现，但面临利润承压与转化效率挑战。

本文介绍软件相似性检验中归一化处理的技术规范与操作实践，旨在破解代码混淆干扰，让鉴定回归技术本质。文档强调在数字经济时代软件权属争议与侵权纠纷增多背景下，通过规范化归一化处理提升软件相似性检验的准确性与可靠性，为司法鉴定提供技术支撑。

本文分享androidid溯源锁定涉案设备的实战研究，针对嫌疑人卸载应用、清理记录等反取证行为，提出通过androidid等电子痕迹进行溯源锁定，为涉网犯罪侦查提供技术思路与操作参考。

本文通过校园站点案例，分析任意文件下载漏洞的发现与验证过程。攻击者利用下载接口未严格限制文件路径，成功读取配置文件，泄露数据库连接、API密钥等敏感信息。建议开发将文件下载功能设计为带权限、目录边界和类型限制的后端能力，避免直接信任前端传入路径。

泛微E-cology10平台downLoadSyslog接口存在未授权任意文件读取漏洞，影响该平台用户。文章提供了FOFA查询语句和漏洞复现方法，建议用户及时打补丁修复。文章末尾推广了作者知识星球，提供批量扫描POC工具，需注意合规使用。

暗网分析师披露加密货币交易所bitmax.io数据库遭泄露，约361003条SQL格式记录被曝光，包含姓名、邮箱、IP日志、安全验证记录及护照或身份证等敏感信息，涉及全球用户，其中大量为国内邮箱，推测平台或为国人运营。

文章作者在2026年对37个SRC授权目标进行SQL注入测试，发现近四成系统仍能被经典payload绕过登录，主要原因是中小企业老框架、外包开发、无WAF和缺乏安全测试。文章分享了新变种如大小写混淆、注释符混用、双写绕过、科学计数法和JSON注入，并给出实战案例、挖掘思路和防御建议，强调开发者应不信任用户输入。

亿赛通电子文档安全管理系统存在高危SQL注入漏洞，漏洞位于/CDGServer3/client/notouchapprove.jsp;Servicelogin接口，未授权攻击者可执行SQL语句获取数据库敏感信息，影响该系统相关版本，目前POC已公开且暂无漏洞编号，官方已发布修复版本，建议用户尽快升级至安全版本以防数据泄露风险。

CIA局长拉特克利夫秘密访俄，向俄方提出特朗普-普京-泽连斯基三方峰会构想以推动结束俄乌战争，并传递俄经济军事状况恶化的悲观评估。普京已拒绝峰会提议，乌克兰对俄意图高度警惕。此次外交尝试面临结构性困境，美方内部信号矛盾，博弈远未结束。