Posts of last few hours

CVE-2026-88975（CVSS 3.1 7.5，CWE-400）是 http4s Ember HTTP/2 实现的未认证资源消耗漏洞：读循环在缓冲完整 9 + length 字节之前不做任何帧大小校验，对端可以在 9 字节帧头里声明一个接近 24 位上限的单帧长度，并持续发送接近 16 MiB、但仍不足额的负载，使当前未完成帧的累积缓冲 acc 驻留约 16 MiB——约为 16 KiB

https://xz.aliyun.com/news/92896

Mon, 10/12/2026 - 10:02

从 ZCode Trust Folder Bypass 0day 漏洞看 Coding Agent 的 Trust Folder 安全问题

算是一个 ZCode 都 0day，通过打开恶意的目录触发

https://xz.aliyun.com/news/92897

Mon, 10/12/2026 - 10:02

《AI智能体安全审计中的过度声称、定级漂移与提示词治理》

本文基于自研 AI 安全审计平台 DeepCollab 的A/B沙箱对照实验，揭示了AI智能体在强制指标压力下产生的“过度声称”与“定级漂移”现象。实验表明，AI并非缺乏定级能力，而是“形式优先于实诚”。文章最后给出了四条可落地的提示词治理规范，旨在降低安全审计中的成本错位与人机协同摩擦

https://xz.aliyun.com/news/92898

Mon, 10/12/2026 - 10:02

ELF COPY 重定位下的权限位改写

主程序把共享库中的 capability_mask 写成 0x41 后，库函数会读到更新值，还是继续读到 0x01？答案不在变量名里，而在 ELF 重定位与符号绑定生成的地址关系中。

https://xz.aliyun.com/news/92903

Mon, 10/12/2026 - 10:02

SunshineCTF 2026 · kidding：JWT

SunshineCTF 2026 一道 Web 题的完整复现。JWT header 里的 kid 被当成文件名拼进路径，服务端读到什么文件就把内容当签名密钥，这个字段于是变成了任意文件读取的入口。而编辑器密钥硬编码在源码里，源码又能从同一个口子读到——读者证就此变成编辑证。

https://xz.aliyun.com/news/92907

Mon, 10/12/2026 - 10:02

系统调用(syscall)

Syscall用户态 API Hook 让 EDR 能动态审查 Windows API。多数 EDR 用 Inline Hook：在内存里插入 jmp，把执行流拐进 EDR 的 hooking.dll。研判当前 Windows API 不是恶意，就跳回 ntdll.dll，再 syscall 进内核；研判是恶意，就终止执行。要看真正的汇编和 SSN，必须去 ntdll.dll 文件里看函数。其他地

https://xz.aliyun.com/news/92911

Mon, 10/12/2026 - 10:02

CodeQL 复现 Struts OGNL 注入：Source/Sink 建模、误报剔除与路径验证

Struts OGNL 注入：Source/Sink 建模、误报剔除与路径验证

https://xz.aliyun.com/news/92912

Mon, 10/12/2026 - 10:01

记一次样本分析

样本的文件来源: https://bbs.360.cn/thread-16185961-1-1.html白加黑：白进程 360speedld.exe，黑 DLL somkernl.dll。黑 DLL 内部名是 proram_c_nocrt_agent_failover_dll.dll，构建标记 clash-silent-speedld-dll。导出故意对齐系统库 msimg32.dll（Alpha

https://xz.aliyun.com/news/92913

Mon, 10/12/2026 - 10:01

x32游戏逆向：控件类数据定位-从小控件回溯到大控件

控件类数据查找思路和过程详讲

https://xz.aliyun.com/news/92914

Mon, 10/12/2026 - 10:01

AI 智能体框架序列化注入漏洞：原理分析与靶场复现

序列化注入（Serialization Injection）是智能体框架中的一类新型漏洞：攻击者通过提示注入让恶意结构进入智能体状态，框架在持久化与恢复状态时用自身序列化器处理这些数据，反序列化器将携带特定标记的攻击者数据当作受信任的框架对象还原，从而实现任意代码执行、密钥窃取与任意类实例化。本文以 LangGraph 的 CVE-2025-64439（CVSS 9.8）与 LangChain C

https://xz.aliyun.com/news/92915

Mon, 10/12/2026 - 10:01

CVE-2026-39821：Go idna 纯 ASCII 标签解码漏报

一个 xn-- 前缀加一个尾 -，黑名单里的域名就能原样通过校验；ToUnicode("xn--example-.com") 解码出 example.com 却不带错误。

https://xz.aliyun.com/news/92916

Mon, 10/12/2026 - 10:01

有趣的绕过，Cache XSS

比较新颖的xss

https://xz.aliyun.com/news/92917

Mon, 10/12/2026 - 10:00

网络安全信息与动态周报2026年第40期（9月28日-10月4日）

本周，互联网网络安全态势整体评价为良。