本文分析银行CTF比赛中的Shiro反序列化题目，涉及CVE-2020-13933权限绕过漏洞和反序列化点。通过构造恶意Cookie触发LogHandler类的toString方法执行命令，详细介绍了黑盒测试、代码审计、Payload构造过程，并补充了Shiro相关知识，最终成功利用漏洞。

本文讨论了银行CTF比赛中的shiro反序列化题目，分析了权限绕过和反序列化漏洞。通过黑盒和白盒测试，发现shiro版本存在CVE-2020-13933漏洞。深入分析源码，确认反序列化点和命令执行漏洞，并成功构造payload执行命令。总结了shiro的知识和反序列化链的构建过程。

绿盟科技监测到Next.js存在权限绕过漏洞（CVE-2025-29927），攻击者可通过操作x-middleware-subrequest请求头绕过权限控制。受影响版本为11.1.4至15.2.2，建议用户尽快升级至安全版本或临时拦截相关请求以防护。

2024和2025年度补丁分析中，发现多个Android系统漏洞，包括CVE-2026-21385，涉及权限绕过和越界写等问题。补丁尚未公开，部分漏洞已被报告和分析。

绿盟科技监测到Next.js存在中间件权限绕过漏洞（CVE-2025-29927），攻击者可通过请求头绕过权限控制。受影响版本包括1.4至13.5.6、14.2.24及15.2.2。建议用户尽快升级或临时拦截相关请求以防护。

新蜂CMS是一款电商系统，存在多个安全漏洞，包括后台和前台的SQL注入、权限绕过及越权问题。通过代码审计，发现多处安全隐患，强调了对SQL拼接和权限验证的重视。

本文分析了shiro-web的漏洞，指出浏览器在处理路径时未有效过滤，导致可通过篡改URL实现权限绕过。建议对含有../的路径进行规范化处理，以提高安全性。

绿盟科技CERT监测到nginxWebUI存在远程命令执行漏洞，风险包括权限绕过和任意代码执行。受影响版本为nginxWebUI <= 3.5.0，建议尽快升级到nginxWebUI >= 3.6.0。可使用WAF进行防护，避免将系统暴露在互联网上，并使用强密码降低远程命令执行风险。绿盟科技不对此安全公告提供保证或承诺，使用者对使用此公告所提供信息造成的后果负责。未经绿盟科技允许，不得修改或用于商业目的。