cPanel严重漏洞允许托管客户以数据库Root身份执行SQL
cPanel修复了一个严重漏洞，允许经过身份验证的托管客户以数据库管理员（root）身份执行SQL命令，跨越cPanel账户与服务器管理数据库身份之间的权限边界。该数据库漏洞编号为CVE-2026-58048（CVSS 4.0评分：9.4），影响所有受支持的cPanel & WHM版本以及WP Squared；本次定向安全发布还修复了两条其他绕过账户边界的途径。
标签： 漏洞
Read More
Azure Cosmos DB 漏洞暴露平台级密钥，可访问任意数据库
据 Wiz 称，Azure Cosmos DB 中一个现已修复的漏洞可能让攻击者逃逸该服务的 Gremlin 查询沙箱，并获得跨客户租户的数据库完全读写访问权限。Wiz 将该攻击链命名为 CosmosEscape。
Gitea 新远程代码执行漏洞：仓库写权限用户可植入 Git 钩子执行 Shell 命令
自托管 Git 平台 Gitea 已修补一个高危远程代码执行（RCE）漏洞。拥有普通仓库写权限的用户可将攻击者控制的补丁内容转化为可执行的 Git 钩子，并以 Gitea 服务账户身份运行 Shell 命令。该漏洞编号为 CVE-2026-60004（CVSS 评分 9.8），影响 1.17 及以上、1.27.1 之前的所有 Gitea 版本，已在 1.27.1 中修复。
研究人员展示：单次访问恶意网页即可攻陷 Tor 浏览器
Nebula Security 表示，一个已修复的 Firefox JIT 缺陷仅需访问恶意网页即可触发，并被用于攻陷 Tor 浏览器。该漏洞编号 CVE-2026-10702，可在浏览器渲染进程内实现任意代码执行。Mozilla 将其评级为”高”，并在 Firefox 151.0.3 更新中修复。Nebula Security 首席执行官 Eten Zou 表示：”无需任何设置或额外用户交互，访问一个恶意网页就足以触发它。”
新7-Zip漏洞可让精心构造的XZ压缩包在解压时执行代码
在7-Zip中打开一个精心构造的XZ压缩包，可能让攻击者在这台机器上执行代码。该漏洞编号为CVE-2026-14266，是归档程序在处理XZ分块数据时发生的一个基于堆的缓冲区溢出。趋势科技的零日计划（ZDI）于7月15日披露了漏洞细节。修复版本已于6月25日随7-Zip 26.02发布。溢出允许攻击者“在当前进程的上下文中执行代码”，不过所执行的代码将以7-Zip自身持有的令牌运行，不会获得额外权限。
研究人员称 Claude for Chrome 漏洞允许恶意扩展触发 Gmail 读取
任何其他能够在 claude.ai 上运行脚本的浏览器扩展，仍可触发 Claude for Chrome 针对你的 Gmail、最新 Google 文档及其评论以及日历的任务。
研究人员披露利用三个 OpenClaw 漏洞实现 WhatsApp 到主机的攻击链
OpenClaw 个人人工智能（AI）助手三个已修复安全漏洞细节被披露，若成功利用，可导致凭据窃取、权限提升以及在主机上执行任意代码。
Writer AI 漏洞可让代理预览跨租户泄露会话令牌
网络安全研究人员披露了 Writer（一家企业级生成式人工智能平台）中现已修补的一个严重会话隔离漏洞细节，该漏洞可能导致跨租户入侵。该一键利用漏洞被 Sand Security Research 团队命名为 WriteOut。一名外部攻击者可以从毫无权限到入侵任何行业领先企业内的 Writer AI 组织，所需要的仅仅是一个链接。
