文章总结： 本周网安资讯涵盖多项安全动态。政策方面发布AI加速芯片安全规范。情报方面监测到伪装杀毒软件窃取数据、针对加密货币行业的供应链攻击及新型GlitchFix社会工程学攻击等。漏洞方面，WordPress插件出现多处XSS漏洞，MyTube存在未授权数据库导出风险，PHP出现堆缓冲区溢出漏洞。最后涉及安全厂商捷普的产品介绍。 综合评分： 60 文章分类： 威胁情报,漏洞预警,软文广告

每周网安资讯 （1.20-1.26）| MyTube允许访客用户未经授权导出数据库

交大捷普

2026年1月26日 18:10 陕西

2026

[ 每周网安资讯 ]

网安资讯

1、全国网安标委发布《网络安全标准实践指南——人工智能加速芯片安全功能技术规范》

为指导人工智能加速芯片安全功能建设与测评工作，降低安全风险隐患，秘书处组织编制了《网络安全标准实践指南——人工智能加速芯片安全功能技术规范》。该指南规定了人工智能加速芯片在硬件安全、接口安全、固件安全、安全存储单元、密码技术机制、故障检测与诊断和数据保护七个方面的安全功能要求和测评方法，适用于人工智能加速芯片的设计、开发和应用，也为开展相应的安全评估和检测认证活动提供参考。

安全情报

1、新型信息窃取攻击活动伪装成杀毒软件窃取用户数据

VirusTotal最新调查追踪到一场发生在2026年1月11日至15日的恶意软件攻击活动。威胁行为者通过伪装成Malwarebytes软件来攻击用户，通过精心制作的ZIP文件，这些文件命名为malwarebytes-windows-github-io-XXXzip，让不知情的用户以为在下载正版杀毒软件。当用户提取并运行看似合法的Malwarebytes可执行文件时，会触发一系列恶意事件。

2、PurpleBravo仿冒IT软件的供应链攻击分析

PurpleBravo与攻击活动Contagious Interview有关，主要针对加密货币行业的软件开发者。2025年3月，研究人员发现四个与PurpleBravo高度相关的虚假身份，这些身份伪装成加密货币公司的开发者和招聘人员，来自乌克兰敖德萨，目标是南亚的潜在受害者。攻击者利用恶意GitHub仓库进行攻击，如伪装食品制造品牌进行加密货币盗窃的骗局，以及针对印度软件开发公司的攻击。

3、新型GlitchFix社会工程技术诱骗网站访问者下载恶意软件

Censys研究人员发现一种名为GlitchFix的新型社会工程技术，攻击者利用ErrTraffic系统实施攻击。ErrTraffic是一种专门的流量分发系统，扩展了传统ClickFix方法，通过视觉扭曲和混乱效果故意破坏网页，使Windows、macOS、Android和Linux设备用户相信其浏览器或系统需要紧急更新。攻击平台成本约800美元，支持多操作系统和八种语言，可开展全球攻击活动。

4、攻击者利用武器化PNG文件传播PURELOGS信息窃取器

Swiss Post Cybersecurity研究人员追踪到一个隐藏在PNG文件中的PURELOGS信息窃取器攻击活动。攻击者通过伪装成制药发票的钓鱼邮件，利用JScript Dropper进行初始访问，该文件为Windows Script Host JScript文件，可获取操作系统级权限。之后从在线数字图书馆下载一个特殊的PNG文件，其中隐藏着恶意负载。

漏洞预警

1、WordPress徽标滑块插件<=4.9.0-跨站点脚本（XSS）漏洞

LogicHunt Logo Slider徽标滑块wp中存在网页生成过程中输入中和不当（“跨站点脚本”）漏洞，该漏洞允许存储XSS。此问题影响徽标滑块：从n/a到<=4.9.0。

2、Typemill已通过登录错误视图模板反映XSS

Typemill是一个基于Markdown的平面文件CMS，专为信息文档网站而设计。2.19.1及以下版本的登录错误视图模板“login.twig”中存在反映的跨站点脚本（XSS）。当身份验证失败时，可以在没有适当上下文编码的情况下回显“用户名”值。攻击者可以在登录页面上下文中执行脚本。此问题已在2.19.2版本中修复。

3、MyTube允许访客用户未经授权导出数据库

MyTube是几个视频网站的自托管下载器和播放器。1.7.78及以下版本不能防止绕过授权，允许访客用户下载完整的应用程序数据库。应用程序未能正确验证数据库导出终结点上的用户权限，使低权限用户能够访问他们不应该有权限查看的敏感数据。

4、JustClick注册插件<=0.1-通过PHP_SELF反射跨站点脚本

WordPress的JustClick注册插件在0.1及以下的所有版本中都容易受到反射跨站点脚本的攻击。这是由于“PHP_SELF”服务器变量上的输入净化和输出转义不足造成的。这使得未经身份验证的攻击者有可能在页面中注入任意web脚本，如果他们能够成功诱骗用户执行点击链接等操作，则可以执行这些脚本。

5、Php存在整数溢出或超界折返漏洞

PHP是PHP开源的一种在服务器端执行的脚本语言。PHP 8.1.34之前版本、8.2.30之前版本、8.3.29之前版本、8.4.16之前版本和8.5.1之前版本存在安全漏洞，该漏洞源于array_merge函数中存在堆缓冲区溢出，可能导致内存损坏或崩溃。

关于捷普

捷普作为一家国内先进的新时代网络信息安全产品和服务提供商，坚持以“全面安全 智慧安全”为产品理念，持续技术创新，为广大用户提供基础设施安全、数据安全、信创安全、工业互联网安全、云安全、物联网安全、国密安全等七大系列网络安全产品。并在风险评估、渗透测试等安全服务上占据优势，协助用户全面提升IT基础设施的安全性、合规性和生产效能，面向数字时代保障信息系统全面安全。

END

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：交大捷普 《每周网安资讯 （1.20-1.26）| MyTube允许访客用户未经授权导出数据库》