跳到主要内容
每日早报 · 六个领域的重点资讯阅读早报
Ariquo
开始使用联系我们

已发布刊物 · 免费预览

安全每日新闻流 2026-11-15｜nltk：发布 7 则安全公告

发布：　摘要更新：

GitHub 发布了 7 则影响 nltk 库的安全公告。报告的问题包括：NLTK：在宽括号主体和运算符链上，CCG 词法分析器（fromstring）存在二次时间 CPU 拒绝服务漏洞；NLTK：通过 list.pop(0) 对 Tree.chomsky_normal_form 进行右因子二值化时存在二次时间 CPU 拒绝服务漏洞；NLTK：在嵌套跨度重新扫描过程中，ConllCorpusReader SRL 实例构建器存在二次时间 CPU 拒绝服务漏洞。

本期内容预览

1. nltk：发布 7 则安全公告

GitHub 发布了 7 则影响 nltk 库的安全公告。报告的问题包括：NLTK：在宽括号主体和运算符链上，CCG 词法分析器（fromstring）存在二次时间 CPU 拒绝服务漏洞；NLTK：通过 list.pop(0) 对 Tree.chomsky_normal_form 进行右因子二值化时存在二次时间 CPU 拒绝服务漏洞；NLTK：在嵌套跨度重新扫描过程中，ConllCorpusReader SRL 实例构建器存在二次时间 CPU 拒绝服务漏洞。

2. CVE-2026-120522 发布的 Fluent Forms 云存储管理器插件 – 支持 Google Drive、Dropbox、OneDrive、S3 上传至 WordPress，所有版本均存在任意文件写入漏洞

CVE-2026-120522 发布的 Fluent Forms 云存储管理器插件 – 支持 Google Drive、Dropbox、OneDrive、S3 上传至 WordPress，所有版本均存在任意文件写入漏洞

3. CVE-2026-124021 控制 Web 面板（CWP）在 webpanel_version 1.30.6 发布前，api/v1/index.php 的 validate() 函数中存在授权绕过漏洞，允许攻击者

CVE-2026-124021 控制 Web 面板（CWP）在 webpanel_version 1.30.6 发布前，api/v1/index.php 的 validate() 函数中存在授权绕过漏洞，允许攻击者

4. 56 次 AWS API 调用耗时 141 毫秒：一次由 AI 驱动的入侵内部揭秘

CyberStrikeAI 服务器在四个 AWS 账户中利用八个身份凭证持续运行 16 天，CloudTrail 记录显示为何六项检测规则各自仅捕获了部分攻击痕迹。

5. SCKit 滥用 ScreenConnect 部署远程访问并针对技术员会话

微软安全情报已确认 ConnectWise 报告的动态，并观察到威胁行为者正滥用 ScreenConnect（一款合法的远程支持应用），在 ConnectWise 客户管理的端点上安装未经授权的远程访问客户端，并部署恶意蠕虫 SCKit。

6. RBH Access Technologies Integra32 安全管理系统 5.1.11 R5.0 存在未授权反序列化漏洞

RBH Access Technologies Integra32 安全管理系统 5.1.11 R5.0 版本在其已弃用的 .NET Remoting 服务中存在一个未经身份验证的反序列化漏洞。该漏洞通过 AxcvcLt.dll 库在 TCP 端口 2001 上暴露，攻击者使用 BinaryServerFormatterSinkProvider 并启用 TypeFilterLevel.Full 属性，无需身份验证即可进行攻击。远程未经身份验证的攻击者可以向 IntegraURI 对象端点发送恶意序列化 gadget 有效负载（例如 ysoserial.net TypeConfuseDelegate 链），或者利用 MarshalByRefObject/MarshalByValue 反序列化功能进行任意文件读/写操作以及 SMB/NTLMv2 身份验证。

7. CVE-2026-126173 发布的 AutomatorWP Pro 插件中，WordPress 的 Webhook 附加组件在所有版本（含 1.4.4）中存在授权绕过漏洞。

CVE-2026-126173 发布的 AutomatorWP Pro 插件中，WordPress 的 Webhook 附加组件在所有版本（含 1.4.4）中存在授权绕过漏洞。这是由于该插件……cve.org/CVERecord?id=C…

8. WordPress 表单插件 Chatterbug Forms 存在任意文件上传漏洞

WordPress 表单插件 Chatterbug Forms 在 1.0.2 版本及之前所有版本中存在任意文件上传漏洞。该漏洞源于 cbforms_check_form_submissions 函数中缺少服务器端文件扩展名验证。当未配置字段限制时，allowed-type 检查默认使用上传文件的自身扩展名，从而允许任意扩展名（包括.php），极易导致远程代码执行。

9. ELEX WordPress HelpDesk 与 WordPress 客户工单系统插件存在 PHP 漏洞...

ELEX WordPress HelpDesk 与 WordPress 客户工单系统插件在所有版本（包括 3.3.9）中均存在通过 'form（具体为 URL 编码表单字符串中的攻击者控制的 ticket_label 字段）' 参数导致的 PHP 对象注入漏洞。这是由于缺少服务器端身份验证以及反序列化时缺乏类白名单，唯一的防护机制是在任何包含 [wsdesk_support] 短代码的页面上公开发出 nonce。

10. Vvveb 通过 1.0.8.6 存在主题安装器 validFile() 中的文件上传漏洞...

Vvveb 通过 1.0.8.6 存在文件上传漏洞，该漏洞位于主题安装器 validFile() 函数中，该函数使用 strpos() 而非严格路径匹配。拥有管理员凭证的攻击者可以上传包含 ZIP 的 PHP 文件，其路径包含 /theme.php，从而在 nginx 部署中实现远程代码执行。

11. 亚马逊威胁情报观察到威胁行为者使用 ARTEX AI 代理运行网络犯罪活动 | AWS 安全博客

2026 年 10 月 3 日至 11 月 5 日期间，亚马逊的 MadPot（一个全球分布的诱饵威胁传感器网络）捕获了来自攻击者运行的 ARTEX 网络犯罪活动的请求。ARTEX 是一个开源的代理式 AI 渗透测试框架。这些 ARTEX 代理将请求发送给配置为伪装成流行大语言模型（LLM）推理 API 的 MadPot 传感器，请求中携带了代理自身对其活动的记录。

12. 美国 CISA 将 Check Point 和 UnrealIRCd 漏洞纳入已知利用漏洞目录

美国网络安全与基础设施安全局（CISA）将 Check Point 和 UnrealIRCd 漏洞纳入其已知利用漏洞目录。

13. CVE-2026-19907：WordPress 插件 Shipo 存在身份验证绕过漏洞（版本 1.6 至 1.8.0）

CVE-2026-19907 发布的 Shipo 插件在 WordPress 版本中（涵盖 1.6 至 1.8.0 版本）存在身份验证绕过漏洞。这是由于 `authenticate_rest_user()` 函数解析 cve.org/CVERecord?id=C… 时导致 cve.org/CVERecord 标识丢失。

14. VITEC EZ TV Platform Server 8.5.0 之前版本存在不受限制的文件上传漏洞

VITEC EZ TV Platform Server 8.5.0 之前版本的文件上传处理程序存在不受限制的文件上传漏洞。未认证远程攻击者只需通过 X-FILENAME 请求头指定目标文件名，即可在无需身份验证或文件类型校验的情况下上传任意文件。攻击者可以将恶意 ASPX 文件直接上传至可通过 Web 访问的 uploads 目录，由 Web 服务器立即执行，从而以 Web 服务器进程的权限实现远程代码执行。

15. sysPass 3.0.1 至 3.2.11 存在身份验证绕过漏洞，允许未认证攻击者重新安装已有实例

sysPass 3.0.1 至 3.2.11 存在身份验证绕过漏洞。由于 install/install 处理程序从未检查 isInstalled()，未认证攻击者可以通过发送 POST 请求，重新安装已经完成初始化的实例。攻击者能够覆盖 config.xml，将应用程序指向攻击者控制的数据库，创建管理员账户，并植入序列化的 PublicLink Gadget 链，随后通过 account/viewLink 触发该利用链执行命令。

16. OpsTree BuildPiper 2.7.0 之前版本存在权限提升漏洞，项目用户可获取 Kubernetes 集群管理员权限

OpsTree BuildPiper 2.7.0 之前版本存在权限提升漏洞，项目用户可通过 Additional Manifest 功能提交不受限制的 Kubernetes 资源清单，从而获得集群管理员（cluster-admin）权限。攻击者可以部署 ClusterRoleBinding，将某个服务账户绑定至 cluster-admin 角色。由于流水线使用集群级凭据应用这些资源清单，攻击者最终可以控制集群内的全部工作负载和 Secret。

17. Advance Guest Post WordPress 插件 1.9 及更早版本存在文件上传验证缺陷

Advance Guest Post WordPress 插件 1.9 及更早版本未能正确验证上传文件。插件依赖区分大小写且不完整的文件扩展名检查，未认证用户可以轻易绕过该限制，将包括可执行 PHP 文件变体在内的任意文件上传至可通过 Web 访问的目录。根据服务器配置的不同，该漏洞可能导致远程代码执行。

18. Streamit WordPress 插件 1.3.10 之前版本存在未授权函数调用漏洞，可导致权限提升及远程代码执行

Streamit WordPress 插件 1.3.10 之前版本的一个未认证 AJAX 路由缺少授权检查和 nonce 验证。该路由会使用攻击者提供的参数数组调用其指定的 PHP 函数，使未认证攻击者能够调用任意函数，例如创建管理员账户，最终导致权限提升和远程代码执行。

19. PostgreSQL 修复 52 个漏洞，其中包括一个存在 22 年之久、可导致已认证用户执行远程代码的缺陷

PostgreSQL 中的一项类型混淆漏洞使得能够创建对象的数据库用户可以在服务器上运行代码。昨日发布的更新修复了该漏洞，连同另外 51 个安全缺陷。

20. 美国破坏了一场针对 4 亿美元加密货币盗窃的朝鲜活动

美国政府已破坏了一场名为“FaceStealer”的朝鲜社会工程学活动，该活动负责盗窃超过 4 亿美元的加密货币。

21. Advance Guest Post WordPress 插件 1.9 及更早版本未能正确限制或验证文件上传

Advance Guest Post WordPress 插件 1.9 及更早版本未能正确限制和验证文件上传。插件使用向所有前端访问者公开的 nonce 授权上传操作，而且仅检查文件开头的部分字节。这使未认证用户能够上传任意 PHP 文件并远程执行代码。

22. 勒索组织声称窃取了近 10 亿份 Expedia 旅客记录

俄罗斯勒索组织 n0n 声称通过一家遭入侵的第三方提供商窃取了近 10 亿份 Expedia 旅客记录。

23. 发现 Kingston FURY CTRL RGB 控制软件漏洞，版本至 2.0.66.0

在 Kingston FURY CTRL RGB 控制软件（版本至 2.0.66.0）中发现漏洞。受影响组件为 IOCTL Handler 中 NTIOLib_X64.sys 库的未知函数。

24. 警惕新型 AI 驱动的勒索软件爆发

由于受害者未必披露事件且攻击者常夸大索赔金额，难以确定勒索软件攻击的确切数量。但专注于追踪并去重该领域的研究人员一致同意，过去几个月内声称的攻击事件数量显著上升。

25. SignDrop 零日漏洞将微软自有的 CLFS 加固机制转化为 Windows 11 获取 SYSTEM 权限的途径

名为 SignDrop 的公开概念验证利用了微软去年为 Windows CLFS 驱动程序添加的日志文件认证机制，使普通用户能够获取 SYSTEM 权限。目前尚无 CVE 编号且未发布补丁。

26. 数千个 GitHub 代码仓库遭遇凭据窃取恶意软件攻击

研究人员发现了一场利用遭劫持的 GitHub 账户，在数千个代码仓库中传播凭据窃取恶意软件的攻击活动。恶意载荷至少在 1,806 个代码仓库中执行，并窃取了 CI/CD 密钥及云服务凭据。

27. NginxPulse 1.5.0 至 1.6.26 之前版本存在未认证 SQL 注入漏洞

NginxPulse 1.5.0 至 1.6.26 之前版本存在未认证 SQL 注入漏洞，远程攻击者可通过 /api/stats/:type 接口的 id 和 locationType 参数追加恶意 SQL 语句。攻击者能够闭合带引号的表名标识符，利用基于错误信息的回显读取数据库内容，并通过 PostgreSQL 超级用户函数读取或写入服务器文件。

28. Dell PowerStore 存在操作系统命令注入漏洞，低权限用户可能提升至 root 权限

Dell PowerStore 存在操作系统命令注入漏洞。拥有有限权限的已认证用户可能利用该漏洞，在设备上将自身权限提升至 root。

29. FrankenPHP 1.1.11 之前版本的 Docker 镜像未及时同步基础组件安全修复

FrankenPHP 1.1.11 之前版本的 Docker 镜像仅在创建新的基础镜像标签时才会重新构建，因此 Alpine、PHP 和 Go 在现有标签下发布的安全修复未能及时同步至 FrankenPHP 镜像。远程攻击者可能利用这些过时系统库中的已知漏洞，例如 libcrypto3 中的 CVE-2025-15467，实现代码执行。

30. OpenMage Magento LTS 20.18.2 之前版本及 21.0.0-beta1 至 beta3 之前版本存在跨站请求伪造漏洞

OpenMage Magento LTS 20.18.2 之前版本，以及 21.0.0-beta1 至 21.0.0-beta3 之前版本，在管理后台和店面 OAuth 的 confirm、confirmSimple 操作中存在跨站请求伪造（CSRF）漏洞。这些操作接受 GET 请求，却未验证 form-key。掌握 OAuth Consumer 凭据的攻击者，可诱导已登录的管理员或客户访问精心构造的确认 URL，从而授权攻击者的请求令牌。随后，攻击者可通过 /oauth/token 交换获得与受害者身份绑定的持久化 REST API 访问令牌。

31. OpsTree BuildPiper 2.7.0 之前版本存在授权不当漏洞，可通过 Kubernetes hostPath 挂载突破容器隔离

OpsTree BuildPiper 2.7.0 之前版本存在授权不当漏洞，允许已认证的部署用户在缺少允许列表或策略检查的情况下定义任意 Kubernetes hostPath 卷。攻击者可以在 Define HostPath Volume 配置中将主机路径设置为 /，以读写方式挂载工作节点的根文件系统，从而突破容器隔离，并可能控制节点及整个集群。

32. Linksys EA8100 1.0.3.216940 存在安全漏洞，影响 JNAP API 组件相关函数

Linksys EA8100 1.0.3.216940 被发现存在安全漏洞。受影响的是 JNAP API 组件中 ui_server.lua 文件的 SetRemoteSetting/SetUnsecuredWiFiWarning 函数。

33. N-central 新型零日漏洞的 PoC 发布数小时后即遭黑客利用 | SecurityWeek

Lupovis 和 Huntback 观察到，攻击者在 PoC 发布约 5 小时后便成功入侵 N-central 服务器，并部署 XMRig 加密货币挖矿程序，通过 systemd 或 cron 实现持久化。

34. Euler 黑客攻击解析：donateToReserves 函数与缺失的校验逻辑

2023 年 3 月 13 日，Euler Finance 遭受损失约 1.97 亿美元。攻击者调用的每一个函数均为 Euler 公开接口或 Aave 闪电贷，且均未触发回滚。

35. @cvenew：CVE-2026-18053：WordPress MemberDash 插件 1.8.7 及更早版本存在权限提升漏洞

@cvenew 在一则公开帖子中报道称：CVE-2026-18053 影响 WordPress MemberDash 插件的所有 1.8.7 及更早版本。该权限提升漏洞源于批量赋值（Mass Assignment）缺陷…… cve.org/CVERecord?id=C…

已展示本期 50 条中的 35 条。注册并开通相应订阅后，可在阅读页查看完整刊物。

安全每日新闻流 2026-11-15｜nltk：发布 7 则安全公告 | Ariquo