CVE-2026-45434 — Apache OFBiz LoginWorker checkLogin 密码更改流程认证绕过远程代码执行

这项研究提供技术背景，便于安全团队开展监测和验证。

作者在 Cisco Smart Software Manager（CSSM）的 nginx 证书上传功能中发现一个认证后 RCE：openssl 证书校验经由 childProcess.execSync 执行，构造恶意 TLS 证书即可实现命令注入，且可通过自签 CSR 绕过多层校验逻辑。该漏洞在报告完成前已被 10-202608 升级静默修复，文章详细分析了利用路径与官方补丁方式。

本文以 HacktronAI 对 OpenAI Discourse 社区站入侵事件的责任披露为背景，探讨如何通过沙箱隔离、运行时防护与 AI 辅助构建安全策略等纵深防御手段，在未知漏洞引发 RCE 时限制横向移动、缩小影响范围。

首次以全链路可审计的交互轨迹和评分证据，证实了大语言模型能够在 ASLR 与动态内存随机化防护下自主完成高复杂度的浏览器引擎端到端漏洞利用。

Viettel 剖析正被活跃利用的 SharePoint ToolShell 漏洞链：CVE-2025-49704 反序列化 RCE 与 CVE-2025-49706 认证绕过，及其补丁绕过变体 CVE-2025-53770/53771，并给出版本核查、IOC 与后渗透排查建议。

Google Project Zero（Ian Beer 与 Samuel Groß）对 NSO Group 零点击 iMessage 利用链（FORCEDENTRY）的深入分析，本文聚焦其中的远程代码执行环节。