文章总结： 本周蓝军技术推送涵盖多个安全领域，包括WEB安全（微软AntiSSRF工具、WordPress插件SSTI漏洞）、终端对抗（堆栈逆向工程研究）、漏洞相关（多个CVE漏洞PoC披露，涉及Linux提权、命令注入等）、AI安全（微软MDASH系统、AI代理红队测试）以及云安全（CognitoSSO攻击分析）。文档提供了具体漏洞链接和工具地址，具备实战参考价值。 综合评分： 82 文章分类： 漏洞分析,WEB安全,AI安全,云安全,终端安全

每周蓝军技术推送（2026.5.9-5.15）

原创

天元实验室 天元实验室

M01N Team

2026年5月15日 18:01 北京

在小说阅读器读本章

去阅读

WEB安全

AntiSSRF：微软开源的IIS模块，用于识别和拦截服务端请求伪造攻击

https://github.com/microsoft/AntiSSRF

CVE-2026-4257：WordPress插件Supsystic Contact Form存在SSTI漏洞

https://www.exploit-db.com/exploits/52564

终端对抗

研究防御堆栈逆向工程，提取规则阈值，发现解析与内核回调层面的漏洞

https://trustedsec.com/blog/the-defensive-stack-is-exposed

漏洞相关

CVE-2026-31431：针对Linux提权漏洞利用变种，发布基于加密特征的五层级YARA检测规则

https://www.reversinglabs.com/blog/copy-fail-5-yara-rules

HertzBeat 1.8.0：利用监控模板脚本协议执行任意命令

https://www.exploit-db.com/exploits/52563

CVE-2026-25994：PJSIP ICE会话未校验输入长度致栈溢出，PoC披露

https://www.exploit-db.com/exploits/52561

CVE-2026-0740：Ninja Forms插件存在未授权PHP文件上传漏洞，允许上传Webshell

https://www.exploit-db.com/exploits/52560

CVE-2026-33641：Glances解析配置时将反引号内容作为命令执行，导致命令注入

https://www.exploit-db.com/exploits/52559

CVE-2025-58434：Flowise AI 关键功能存在认证绕过，允许未授权访问

https://www.exploit-db.com/exploits/52557

人工智能和安全

微软发布MDASH多模型智能体安全扫描系统，在本月漏洞发布日发布16个CVE漏洞，涉及Windows内核等组件

Defense at AI speed: Microsoft’s new multi-model agentic security system tops leading industry benchmark

使用Mythos模型分析curl源码，发现一个安全漏洞

Mythos finds a curl vulnerability

使用AI代理对Llama Scout进行红队测试，发现232个严重漏洞

https://dreadnode.io/research/redefining-ai-red-teaming-in-the-agentic-era/

Claude Mythos Preview：挖掘Firefox漏洞，利用冻结原型防御逃逸

Behind the Scenes Hardening Firefox with Claude Mythos Preview

云安全

分析Cognito多SSO配置中IdP劫持与解析攻击，利用属性映射注入任意属性

https://blog.doyensec.com/2026/05/05/cloudsectidbits-masso-cognito-sso.html

cloudsec-tidbits：收录云安全攻防实验与技巧，包含Cognito实战环境

https://github.com/doyensec/cloudsec-tidbits

其他

Mini Shai-Hulud：针对TanStack等npm包的供应链投毒活动

https://www.wiz.io/blog/mini-shai-hulud-strikes-again-tanstack-more-npm-packages-compromised

Shai-Hulud：利用OIDC滥用投毒npm包并伪造Sigstore来源信息

https://securitylabs.datadoghq.com/articles/shai-hulud-open-source-framework-static-analysis/

M01N Team公众号

聚焦高级攻防对抗热点技术

绿盟科技蓝军技术研究战队

官方攻防交流群

网络安全一手资讯

攻防技术答疑解惑

扫码加好友即可拉群

往期推荐

每周蓝军技术推送（2026.5.2-5.8）

每周蓝军技术推送（2026.4.18-5.1）

每周蓝军技术推送（2026.4.11-4.17）

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：M01N Team 天元实验室 天元实验室《每周蓝军技术推送（2026.5.9-5.15）》