作者
Mohammed Lachhab
Mohammed Lachhab is a Security Engineer at Ostorlab, where he combines hands-on security research with content strategy. He conducts in-depth research on vulnerabilities, cybersecurity tools, and emerging threats to produce educational content that is both technically accurate and accessible. All articles are reviewed by the engineering team for technical rigor, helping Ostorlab communicate complex security topics clearly to professionals and security teams.
AI 智能体能否在运行时证实 SAST 发现？
静态分析能标记可能存在的缺陷，却无法证明它们。运行时验证证实了 Langflow 中一个需身份验证的 RCE，并纠正了一个 libxml2 释放后使用漏洞所声称的触发条件。
2026年9月23日
绕过移动应用加固：检测止步之处，正是执行失效之时
检测与执行是两种不同的安全属性。在五款由四种商业加固产品保护的生产环境银行应用中，检测相当精密，执行却十分脆弱。
2026年8月12日
AI 能跑完攻击。你能信任它的结果吗？
AI 能在几秒内生成一个令人信服的漏洞利用故事。而运行时实证、负对照和人工审查，才决定这个故事能否成为一个安全团队可以信任的发现。
2026年8月6日
产出证据而不只是检测结果的 AI 渗透测试提示词
一份实用指南，介绍如何设计 AI 辅助的安全测试工作流，借助结构化输出、验证关口和受控执行，将限定范围内的证据转化为可供审查的检测结果。
2026年7月23日
Mohammed Lachhab 的更多文章
CVE-2026-44109：OpenClaw 飞书身份验证绕过至 RCE
对 CVE-2026-44109 的技术剖析，这是 OpenClaw（< 2026.4.15）中一个 CVSS 9.2 严重级别的身份验证绕过漏洞。飞书/Lark 插件中的两处失效即放行（fail-open）逻辑反转——一处位于 webhook 签名校验器，另一处位于卡片操作重放防护——使未经身份验证的攻击者能够向 OpenClaw 的命令分发引擎注入任意事件。当机器人启用了执行工具时，这将直接转化为在主机上以 OpenClaw 进程权限执行的、未经身份验证的远程代码执行。
2026年5月7日
CVE-2026-5205：Chatwoot 上传功能中的严重 SSRF 漏洞
深入分析 Chatwoot 上传端点（≤ v4.12.1）中的一个严重服务器端请求伪造（SSRF）漏洞。/api/v1/accounts/:id/upload 端点接受一个 external_url 参数，而该参数仅通过协议检查进行校验，使任何已认证的 agent 都能迫使服务器抓取任意内部 URL。完整的响应正文会通过 ActiveStorage blob 带内返回——将上传端点变成一个完整读取代理。在 DigitalOcean droplet 上的真实利用证实了云元数据的带内外泄，包括 droplet ID、主机名、SSH 公钥以及完整的元数据包。已在 v4.13.0 中修复。
2026年4月29日
Twenty CRM 无服务器函数引入严重 RCE 与永久性未认证后门风险（CVE-2026-26720）——PoC 与漏洞利用
对 CVE-2026-26720 的技术剖析：这是 Twenty CRM（≤ v1.15.0）中一个 CVSS 9.8 严重级别、需认证的远程代码执行漏洞。任何工作区成员都可以创建并执行无沙箱的无服务器函数，这些函数可完全访问 process.env，从而泄露 APP_SECRET、PG_DATABASE_URL 以及所有服务器端凭据。当与通过 PublicEndpointGuard 暴露的 webhook 触发型工作流相结合时，单个经过认证的攻击者即可安装一个永久性的、无需认证的 RCE 后门，可从互联网任何位置访问。
2026年4月15日
GHSA-cr3w-cw5w-h3fj：Saltcorn 中的 1-Click RCE
对 GHSA-cr3w-cw5w-h3fj 的分析，这是 Saltcorn（≤ 1.5.0-beta.19）中一个 CVSS 9.7 严重级别的 XSS 到 RCE 漏洞。两个相互串联的缺陷——路由参数中的反射型 XSS 与备份生成过程中的命令注入——可通过对管理员实施钓鱼来实现远程代码执行。
2026年3月11日
CVE-2026-1357：WPvivid 备份插件中的未授权 RCE
对 CVE-2026-1357 的技术剖析——这是 WPvivid Backup & Migration 插件（≤ 0.9.123）中一个 CVSS 9.8 严重级别的未授权远程代码执行漏洞。两个环环相扣的缺陷——一个密码学 fail-open 和一个未经净化的路径遍历——使得无需任何凭据即可实现任意文件写入和 shell 上传。
2026年2月20日