Research Archive
漏洞分析
按研究类型、时间、专题和威胁域浏览文章。这个页面更偏档案库而不是时间流。
2026
xAI grok-build 开源次日 0day 挖掘（三）：Grok-Build-CLI folder-trust 检测盲区与零提示 RCE
xAI grok-build 仓库开源次日我发现的 0day (3)。
xAI grok-build 开源次日 0day 挖掘（二）：Grok-Build-CLI 与 Claude Code CLI 的 bypassPermissions RCE
xAI grok-build 仓库开源次日我发现的 0day (2)。
xAI grok-build 开源次日 0day 挖掘（一）：Grok-Build-CLI cargo check RCE 攻击链分析
xAI grok-build 仓库开源次日我发现的 0day (1)。
2025
CVE-2025-53770 SharePoint WebPart 注入反序列化 RCE：补丁日之前的野利用
CVE-2025-53770 是 Microsoft SharePoint Server（on-prem）的 WebPart 注入 + .NET 反序列化 RCE。微软已确认在野利用，攻击者通过未认证 POST /_layouts/15/ToolPane.aspx 注入恶意 WebPart payload，触发 .NET 反序列化 gadget chain 拿下 SharePoint 服务器。
CVE-2025-44148 MailEnable Webmail 反射 XSS：failure.aspx 未净化的 state 参数
CVE-2025-44148 是 MailEnable Webmail 10 之前版本的反射型 XSS，CVSS 6.1。攻击者构造含恶意 JavaScript 的 state 参数访问 /Mondo/lang/sys/Failure.aspx，MailEnable 不做 sanitize 直接回显到 HTML 中，触发浏览器执行任意 JS，盗取 session、发起钓鱼。
CVE-2025-32433 Erlang/OTP SSH 预认证 RCE：当 session 通道直接吃 Erlang 代码
CVE-2025-32433 是 Erlang/OTP SSH server 的预认证 RCE，CVSS 10.0。攻击者完成标准 SSH 握手后，在 session 通道发送的不是普通 shell 命令，而是直接可被 Erlang VM 执行的 Erlang 表达式——OTP SSH server 在认证前就把这个字符串交给 erlang VM 执行，实现未认证 RCE。
CVE-2025-55184 React Server Components 无限循环 DoS：反序列化时一行 payload 锁死 CPU
CVE-2025-55184 是 React Server Components（RSC）的拒绝服务漏洞，CVSS 7.5。攻击者发送一个精心设计的 HTTP 请求到 Server Function 端点，触发 RSC 反序列化流程进入无限循环，消耗 100% CPU 实现 DoS，影响 React 19.0.0 到 19.2.1。
Explore CMS v1.1 反射 XSS：当社区型 CMS 的 UserID 字段成为攻击入口
Explore CMS v1.1 的 user/login.php 与 admin/login.php 端点对 UserID 字段完全不做 sanitize / validation，攻击者构造简单的
CVE-2025-32395 Vite Dev Server 路径遍历：URL 中 # 字符绕过的 server.fs.deny
CVE-2025-32395 是 Vite Dev Server 的路径遍历漏洞，CVSS 5.9。攻击者通过 URL 中的 # 字符绕过 server.fs.deny 中间件，结合 /../ 实现跳出项目目录读取任意文件，CVSS 5.9。
CVE-2025-4123 Grafana 全读 SSRF + 账号接管：Open Redirect + CSPT + Client-side Traversal 三段链路
CVE-2025-4123 是 Grafana 的全读 SSRF + 账号接管链，CVSS 7.6。攻击者利用 staticHandler 的 Open Redirect + render 端点的 SSRF + plugin-app explore 的 CSPT 客户端路径遍历，把攻击者控制的 JSON 投毒到客户端，劫持模块加载实现 Account Takeover。
CVE-2025-52287 WSUS 反序列化 RCE：SimpleAuth 认证 Cookie 链的四阶段利用
CVE-2025-52287 是 Windows Server Update Services 的反序列化 RCE，CVSS 9.8。攻击者通过 4 阶段攻击链（获取 ID → 拿 Cookie → 用 Cookie 触发 SimpleAuth → 注入反序列化 payload）实现 WSUS 服务器 RCE，控制企业补丁分发中心。
CVE-2025-56386 Notepad++ DLL 劫持：v8.8.3 的 DLL 搜索顺序与 CWD 的致命组合
CVE-2025-56386 是 Notepad++ v8.8.3 的 DLL 劫持漏洞，CVSS 8.4。Notepad++ 加载 DLL 时遵循 Windows 默认搜索顺序（含当前工作目录），攻击者在用户打开恶意文档时把同名 DLL 放在 CWD，让 Notepad++ 加载恶意 DLL 获得 RCE。
CVE-2025-30406 CentreStack 反序列化 RCE：硬编码 Machine Key 的 ASP.NET ViewState 利用
CVE-2025-30406 是 CentreStack / Triofox 16.1.10296.56315 之前版本的硬编码 Machine Key 漏洞，CVSS 9.8。攻击者利用 ysoserial 生成恶意 ViewState 负载，用硬编码的 validation key 签名后发送到 ASP.NET 端点，触发反序列化执行任意命令。
ReachMe.io 漏洞分析：低成本和 CZ Say Hi
ReachMe.io 是一个基于 BNB Chain 的付费聊天平台，给 CZ 发送消息需支付 1 BNB。慢雾安全团队发现 ReachMe 在消息价格校验上存在链上链下不一致漏洞，仅需 0.001 BNB 即可绕过 1 BNB 限制向任意 KOL 发送消息。漏洞在约 10 分钟内复现，项目方已第一时间修复。
CVE-2025-29927 Next.js 认证绕过：x-middleware-subrequest 头部递归深度的绕过
CVE-2025-29927 是 Next.js 中间件授权绕过漏洞，CVSS 9.1。攻击者通过 x-middleware-subrequest 头部构造深度 ≥ MAX_RECURSION_DEPTH (5) 的递归链，让 Next.js 把当前请求视为内部子请求，跳过整个 middleware 链路，实现未认证访问受保护页面。
CVE-2025-24813 Apache Tomcat 路径等价 + 持久会话 RCE：partial PUT 与 default servlet 拼合
CVE-2025-24813 是 Apache Tomcat 的路径等价 + 持久会话 RCE，CVSS 9.8。攻击者通过 Content-Range 的 partial PUT 写入 .internal 到 Tomcat 工作目录，再用 default servlet 把该文件读取为 JSP 编译执行，实现远程 RCE。
CVE-2025-27415 Nuxt.js Cache Poisoning 拒绝服务：路由正则的换行符绕过
CVE-2025-27415 是 Nuxt.js 的 Cache Poisoning 拒绝服务漏洞，CVSS 7.5。攻击者通过 URL 中的换行符与空格组合绕过路由正则，触发 Nitro 路由匹配空值导致缓存无限增长，最终耗尽内存实现 DoS。
CVE-2025-5777 Citrix NetScaler 内存越读：从 <InitialValue> 反射到认证前内存泄漏
CVE-2025-5777 是 Citrix NetScaler 的内存越读漏洞，CVSS 7.5。NetScaler 在 VPN / ICA Proxy / CVPN / RDP Proxy / AAA 模式下接受未认证请求，登录响应的 XML 中 字段会反射用户输入，但攻击者利用该反射可触发内存越读，泄漏 NetScaler 进程的内存内容。
CVE-2025-21756 Linux Kernel vsock UAF：从 socket 子系统到 Root 的最短路径
CVE-2025-21756 是 Linux 内核 vsock 子系统的 Use-After-Free 漏洞，CVSS 7.8。攻击者通过 AF_VSOCK socket 触发 vsock_diag_dump 函数中 sk 与 vsk 引用不一致的 UAF，逃逸到内核 ROP 链实现本地提权至 root。
CVE-2024-12877 GiveWP PHP 对象注入：当 unserialize 碰上 magic methods
CVE-2024-12877 是 GiveWP 3.19.3 之前版本的 PHP 对象注入漏洞，CVSS 7.5。攻击者构造恶意序列化数据触发 __wakeup/__destruct 等 magic method 执行任意代码，配合正则白名单的覆盖不全，可绕过早期 is_serialized 防御并升级为 RCE。
CVE-2025-0133 GlobalProtect 网关反射型 XSS：VPN 门户的凭据窃取
CVE-2025-0133 是 Palo Alto Networks PAN-OS GlobalProtect Gateway 和 Portal 的反射型 XSS 漏洞，CVSS 6.9（CVSS v4.0）。攻击者通过构造恶意 URL 在 VPN 登录页面注入 JavaScript，窃取用户凭据或劫持会话。
CVE-2025-11001 7-Zip ZIP Parsing Directory Traversal to RCE：symlink 拼接收件路径
CVE-2025-11001 是 7-Zip 在解析 ZIP 文件时未正确处理 symlink 的目录遍历漏洞，CVSS 7.8。攻击者构造含 symlink 的恶意 ZIP，受害者解压时 symlink 被解析到系统敏感路径，后续被解压的文件被写入任意位置，可作为升级到 RCE 的跳板。
CVE-2025-21298 Windows OLE RCE：CStdStubBuffer 加号偏移触发 Use-After-Free
CVE-2025-21298 是 Windows OLE 组件的 Use-After-Free 漏洞，CVSS 9.8。攻击者构造恶意 RTF 文档触发 ole32!CStdStubBuffer_Disconnect 路径中的加号偏移整数溢出，引发双重释放与 UAF，结合 COPE 框架可实现 RCE。
CVE-2024-12877 GiveWP PHP 对象注入：unserialize 与正则的徒劳对抗
CVE-2024-12877 是 GiveWP 3.19.2 及以下版本的 PHP 对象注入漏洞，CVSS 7.5。攻击者绕过插件的正则校验，构造恶意序列化 payload 触发 __wakeup() 等 magic method，最终可走到 RCE，影响大量慈善与捐款类 WordPress 站点。
CVE-2025-0108 PAN-OS 认证绕过：Palo Alto 防火墙的又一次沦陷
CVE-2025-0108 是 Palo Alto Networks PAN-OS 的认证绕过漏洞，CVSS 9.8。攻击者通过特定路径绕过管理接口的身份验证，直接访问管理功能，可与 CVE-2024-3400 等命令注入漏洞组合实现未授权 RCE。
CVE-2025-0282 Ivanti Connect Secure 认证前栈溢出 RCE：bufferoverflow 在 VPN 网关的复现
CVE-2025-0282 是 Ivanti Connect Secure 在 2025-01 披露的认证前栈溢出 RCE，CVSS 9.0。攻击者通过 /dana-na/auth/url_default/welcome.cgi 端点发送超长字符串触发栈溢出，覆盖返回地址跳转到 system()，无需认证即可在 VPN 网关上执行任意命令。
2024
CVE-2024-10793 WP Activity Log 存储型 XSS 到 RCE：日志页里的完整链条
CVE-2024-10793 是 WP Activity Log 5.2.1 及以下版本的存储型 XSS 漏洞，CVSS 7.2。攻击者通过 admin-ajax.php 写入未过滤的日志条目，管理员访问日志页时 XSS 触发，窃取 nonce 后上传 PHP webshell 实现 RCE。
CVE-2024-10793 WP Activity Log 存储 XSS 到 RCE：插件日志回显面的未净化
CVE-2024-10793 是 WP Activity Log 5.2.1 之前版本的存储型 XSS，CVSS 7.2。攻击者通过 admin-ajax.php 注入未净化的日志条目，前台管理员查看活动日志时触发 XSS，进而利用已认证上下文的 nonce 上传 PHP Webshell 把 XSS 升级为 RCE。
lunary-ai 三个 npm 漏洞串联：SAML XSS、IDOR 与权限升级的同一套信任链
lunary-ai/lunary 1.6.7 之前同时存在三个 CVE：CVE-2024-10273 SAML Stored XSS、CVE-2024-11137 PATCH score 端点 IDOR、CVE-2025-0281 PATCH model 端点权限升级。根因都指向「认证有效 ≠ 授权合法」的一致性缝隙。
CVE-2024-52875 Kerio Control CRLF 注入到 1-click RCE：防火墙的静默沦陷
CVE-2024-52875 是 Kerio Control 9.2.5 到 9.4.5 的 CRLF 注入漏洞，CVSS 8.8。攻击者通过构造含 CRLF 字符的请求注入 HTTP Header，结合社工诱导管理员点击链接，实现 1-click RCE，完全控制防火墙。
CVE-2024-46982 Next.js 缓存投毒：非动态 SSR 页面的静默劫持
CVE-2024-46982 是 Next.js 13.5.1 到 14.2.9.2 版本的缓存投毒漏洞，CVSS 7.5。非动态 SSR 页面在缓存层未隔离用户特定数据，攻击者通过注入恶意 Header 投毒缓存，后续用户访问时获得被投毒的响应，可导致 XSS 或凭据窃取。
CVE-2024-9264 Grafana DuckDB SQLi 到 RCE：认证后的数据库穿透
CVE-2024-9264 是 Grafana OSS/Enterprise 11.0.0-11.2.1 的认证后 DuckDB SQL 注入漏洞，CVSS 8.8。认证用户可通过 SQL 查询注入 DuckDB 命令读取任意文件，在特定版本（含 duckdb 二进制）下可执行任意系统命令，导致 RCE。
CVE-2024-5420 SEH UTN Server XSS：USB 设备管理接口的跨站脚本攻击
CVE-2024-5420 是 SEH Computertechnik UTNserver Pro/ProMAX/INU-100 20.1.22 之前版本的 XSS 漏洞，CVSS 8.3。攻击者通过构造恶意 URL 在 UTN Server 管理 Web 界面注入 JavaScript，窃取管理员会话或执行其他恶意操作。
CVE-2024-41992 Arcadyan FMIMG51AX000J RCE：ISP 路由器供应链漏洞
CVE-2024-41992 是 Arcadyan FMIMG51AX000J 路由器固件（用于 WiFi Alliance EasyMesh 认证设备）的远程代码执行漏洞，CVSS 9.8。攻击者通过 Web 界面未授权执行任意命令，影响全球大量 ISP 部署的家用网关。
CVE-2024-27956 WP Automatic SQL 注入：从 9.9 分插件漏洞到 admin 账户接管
CVE-2024-27956 是 WordPress valvePress/Automatic 插件的 SQL 注入漏洞，CVSS 9.9，攻击者通过 auth 参数注入 %0a 绕过身份验证，q 参数注入 SQL 把整个数据库 dump 出来，最终创建 eviladmin 管理员账户并弹 shell。
CVE-2024-38475 Apache HTTPD mod_rewrite 路径穿越：从 BlackHat 2024 到 RCE
CVE-2024-38475 是 Apache HTTPD 2.4.59 之前版本的 mod_rewrite 路径穿越漏洞，CVSS 9.1，由 Orange Tsai 在 BlackHat 2024 上披露。攻击者构造特殊请求绕过 mod_rewrite 规则映射，访问 Web 根目录外的文件，甚至在特定配置下实现 RCE。
CVE-2024-40725 Apache HTTPD HTTP 请求走私：Content-Length 处理不一致
CVE-2024-40725 是 Apache HTTPD 2.4.61 之前版本的 HTTP 请求走私漏洞，CVSS 5.3。攻击者利用 Apache 对 Content-Length 与 Transfer-Encoding 处理的不一致性，让代理/后端服务对请求边界理解不同步，实现请求走私。
CVE-2024-4956 Sonatype Nexus OSS 路径穿越：从制品库到任意文件读取
CVE-2024-4956 是 Sonatype Nexus Repository OSS 3.68.1 之前版本的路径穿越漏洞，CVSS 7.5。攻击者通过构造特殊 URL 绕过路径限制，读取服务器上的任意文件（如 /etc/passwd、配置文件、密钥），无需认证。
CVE-2024-38094 Microsoft SharePoint RCE:未授权远程代码执行
CVE-2024-38094 是 Microsoft SharePoint Server 的远程代码执行漏洞，CVSS 6.3，影响大量 SharePoint Server 部署。攻击者通过构造特殊请求绕过身份验证在 SharePoint 服务器上执行任意代码，获取服务器权限后可访问所有 SharePoint 内容。
CVE-2023-7137 Client Details System 1.0 SQL 注入：uemail 参数的经典 boolean-based 漏洞
CVE-2023-7137 是 Client Details System 1.0 的 SQL 注入漏洞，CVSS 8.8，影响登录端 uemail 参数。攻击者通过在登录请求中注入 OR 1=1 等 payload 实现未授权访问，再用 SQLmap 导出整个数据库。漏洞根因是开发者对登录输入未做 sanitize。
CVE-2024-7954 Prote_plume 插件 RCE：从开源安全工具到未授权远程代码执行
CVE-2024-7954 是 Prote_plume 插件的 RCE 漏洞，CVSS 9.8。攻击者通过未授权请求触发代码注入，在服务器上执行任意命令。插件作为安全工具被设计用于漏洞扫描，但自身存在严重的安全缺陷。
CVE-2023-50164 Apache Struts 文件上传路径 RCE：经典框架的经典漏洞
CVE-2023-50164 是 Apache Struts 2.5.0 到 2.5.33、6.0.0 到 6.3.0.2 的文件上传路径操纵 RCE，CVSS 9.8。攻击者通过操纵文件上传参数控制上传路径，结合 Struts 的 OGNL 注入实现未授权 RCE。
CVE-2024-24919 Check Point VPN 任意文件读取：暴露在公网的管理面
CVE-2024-24919 是 Check Point 安全网关 SSL Network Extender 的任意文件读取漏洞，CVSS 8.6。未认证攻击者通过 POST /clients/MyCRL 读取 /etc/passwd 等敏感文件，配合 Censys dork 与 nuclei 模板可批量收割互联网暴露面。
CVE-2024-32002 Git 子模块 + Symlink RCE：git clone –recursive 触发的任意代码执行
CVE-2024-32002 是 Git 的 RCE 漏洞，CVSS 9.0，影响 git clone –recursive。攻击者构造恶意仓库：submodule 含恶意 post-checkout hook + symlink 指向 .git 目录，受害者 clone 时 Git 会执行恶意 hook 实现 RCE。
CVE-2023-46943 JWT Token 验证步骤绕过：从签名校验失效到身份冒充
CVE-2023-46943 是 JWT Token 验证中的配置错误，CVSS 9.1，影响使用第三方 JWT 库但未正确配置签名校验的应用。攻击者通过修改 JWT Header 的 alg 字段为 none 或替换签名密钥绕过验证，冒充任意用户身份。
CVE-2024-3400 Palo Alto GlobalProtect 命令注入：CVSS 10.0 满分链式攻击
CVE-2024-3400 是 Palo Alto Networks PAN-OS GlobalProtect 功能中的命令注入漏洞，CVSS 10.0 满分。攻击者通过特制请求触发命令注入，进而写入计划任务实现持久化，CVSS 向量 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H 影响全球大量企业防火墙。
CVE-2024-4439 WordPress Core 未授权存储型 XSS:Block Editor 渲染链路
CVE-2024-4439 是 WordPress Core 6.5 之前版本的未授权存储型 XSS，CVSS 7.2，存在于 Block Editor 中。攻击者通过精心构造的文章内容触发 XSS，受害者访问文章时执行恶意 JavaScript，攻击者可借此接管账户或植入后门。
CVE-2024-23724 Ghost CMS SVG 存储型 XSS：从头像上传到 Owner 权限接管
CVE-2024-23724 是 Ghost CMS 5.76.0 的存储型 XSS 漏洞，攻击者通过上传含 JavaScript 的 SVG 作为个人头像，诱导 Owner 访问其个人页面后自动把 Owner 角色转给攻击者。修复需要用 DOMPurify 对 SVG 进行 sanitize。
CVE-2024-29291 Laravel 数据库凭据泄露：PDOException 日志写错
CVE-2024-29291 是 Laravel 8-11 的数据库凭据泄露漏洞，CVSS 4.5。Laravel 在 PDOException 抛出时把数据库 DSN、用户名、密码完整地写到 storage/logs/laravel.log（当 APP_DEBUG=true 时），攻击者拿到日志就能直连数据库。
CVE-2023-7028 GitLab 账户接管：密码重置邮件双收漏洞剖析
CVE-2023-7028 是 GitLab CE/EE 16.1.0 之前版本的账户接管漏洞，CVSS 7.5。攻击者通过 /users/password 端点对同一用户名同时发送密码重置邮件到目标邮箱和攻击者控制的邮箱，GitLab 会把重置链接同时发给两个收件人，攻击者拿到 token 后接管账户。
CVE-2023-6553 WordPress Backup Migration 未授权 RCE：从 9.8 分插件漏洞看 PHP filter chain
CVE-2023-6553 是 WordPress Backup Migration 插件 < 1.3.8 的未授权 RCE，CVSS 9.8。includes/backup-heart.php 对用户输入处理不当，攻击者用 PHP filter chain 技术写入 PHP shell 到服务器，无需认证即可远程执行任意命令。
CVE-2023-51766 SMTP Smuggling:Exim 端点序列解释的边界
CVE-2023-51766 是 Exim 4.97.1 之前版本的 SMTP smuggling 漏洞，CVSS 5.3。本篇从协议层面的 end-of-data 序列解释差异切入，梳理出站放行 LF 之后 .CRLF、入站却视作 DATA 结束的复现路径，并复现 GMX/Ionos/Exchange Online 的边界绕过条件。
CVE-2023-31893 Vivo Play IPTV DNS 递归 DoS：从运营商固件看放大攻击
CVE-2023-31893 是 Telefônica Brasil Vivo Play IPTV 设备（固件 2023.04.04.01.06.15）因启用 DNS 递归而遭受的 DoS 漏洞，CVSS 7.5。攻击者通过伪造源 IP 的 DNS 请求触发放大攻击，让设备返回大体积 DNS 响应导致服务不可用。修复方法是禁用递归 + 限制允许递归的客户端。
CVE-2023-4357 Chrome XEE on WebBrowsers：从 XML 外部实体到任意文件读取
CVE-2023-4357 是 Google Chrome 浏览器中的 XEE（XML External Entity）漏洞，CVSS 8.8。攻击者通过构造恶意 XML 文档利用浏览器的 XML 解析器读取本地文件，触发需要用户交互但危害显著。
CVE-2024-22144 WordPress GOTMLS Plugin 代码注入：20 万安装量的字符串拼接漏洞
CVE-2024-22144 是 WordPress GOTMLS 插件 < 4.21.96 的代码注入漏洞，CVSS 9.0，影响超过 20 万活跃安装。攻击者通过未过滤的字符串拼接实现远程代码执行，PoC 可在未授权情况下写入 webshell。
CVE-2024-34351 Next.js SSRF：Server Actions 与 Host 头的隐秘合谋
CVE-2024-34351 是 Next.js 14.1.1 及以下版本的 SSRF 漏洞，CVSS 7.5。Server Actions 在处理以 / 开头的 redirect 时，使用请求中的 Host 头构造 fetch URL，攻击者借此让 Next.js 服务器向任意内部地址发起请求；配合一个中转 Flask 服务即可实现完整读取 SSRF。
node-serialize 反序列化 RCE：被低估的 Node.js 库信任链
node-serialize 0.0.4 的 unserialize() 在解析 JSON 字符串时，对带 _$$ND_FUNC$$_ 前缀的字段不做任何过滤，配合 IIFE 即函数表达式可在反序列化瞬间执行任意 Node.js 代码。本文拆解漏洞机制、payload 构造、复现路径与处置建议。
2023
CVE-2023-50164 Apache Struts 文件上传路径穿越到 RCE：经典框架的老问题
CVE-2023-50164 是 Apache Struts 2.5.33 与 6.3.0.2 及以下版本的文件上传路径穿越漏洞，CVSS 9.8。攻击者通过修改 multipart 请求把 webshell WAR 投递到 webapps 目录，结合 Tomcat manager 部署实现 RCE。
CVE-2023-51766 SMTP Smuggling：把伪造邮件偷渡过 SPF 与 DMARC
CVE-2023-51766 是 Exim 4.97.1 之前版本的 SMTP smuggling 漏洞，CVSS 5.3。攻击者利用出站与入站 SMTP 服务器对 . 序列解释不一致，绕过 SPF/DMARC 校验，从 GMX/Ionos/Exchange Online 等平台伪造任意域名发信。
CVE-2023-49103 + CVE-2023-49105 ownCloud 信息泄漏 + 权限提升到 RCE 链：PHPinfo 暴露如何成为攻击者的钥匙
CVE-2023-49103 是 ownCloud 的 PHPinfo 暴露漏洞（CVSS 10），CVE-2023-49105 是 ownCloud 的 WebDAV 用户签名伪造漏洞（CVSS 9.8）。两个 CVE 组合形成完整攻击链：PHPinfo 暴露提供 GraphQL/ImageMagick 信息，WebDAV 签名伪造让攻击者伪装任意用户访问文件系统，再配合旧版 ImageMagick 漏洞可达成 RCE。
CVE-2023-43341 Evolution CMS Reflected XSS：管理面板的反射攻击面
CVE-2023-43341 是 Evolution CMS v3.2.3 之前版本的 Reflected XSS，CVSS 6.1。攻击者通过构造特定 URL 参数（如 search 参数、page 参数）在 Evolution 管理面板反射 javascript: 协议，触发 XSS。
CVE-2023-38831 WinRAR 欺骗漏洞：归档文件伪装执行的 0click 攻击
CVE-2023-38831 是 RARLAB WinRAR 6.23 之前的欺骗漏洞，攻击者构造看似正常的归档文件，内含同名的「目录+可执行文件」组合，WinRAR 在解压时执行恶意文件。CVSS 7.8，无交互即可触发。
CVE-2023-38286 Spring Boot Admin SSTI：Thymeleaf 表达式注入到 RCE
CVE-2023-38286 是 spring-boot-admin < 3.1.0 + thymeleaf < 3.1.1 的服务端模板注入 (SSTI)，CVSS 9.8。攻击者通过构造特定请求头让 Thymeleaf 视图层把恶意 SpEL 表达式解析执行，最终实现 RCE。
CVE-2023-4357 Chrome LibXSLT XEE：浏览器里被忽视的 XML 外部实体面
CVE-2023-4357 是 Chrome 等基于 WebKit 的浏览器中 LibXSLT 库的 XEE 漏洞，CVSS 8.8。攻击者通过 XSL document() 函数加载外部实体，绕过 sandbox 读取本机 /etc/hosts、/etc/shadow 等敏感文件，影响 iOS/macOS/Android 端 Chrome 与 Safari 等多端浏览器。
CVE-2023-3519 Citrix NetScaler RCE：未经认证的远程命令执行
CVE-2023-3519 是 Citrix NetScaler ADC / NetScaler Gateway 在 13.1-49.15 之前版本的未认证远程代码执行，CVSS 9.8。攻击者构造特定 HTTP 请求触发堆溢出，在 NetScaler 服务的 nsroot 上下文中执行任意命令。
CVE-2023-25157 GeoServer SQLi：OGC API 过滤器的 property 注入
CVE-2023-25157 是 GeoServer 2.22.1 / 2.21.4 之前版本的 SQL 注入漏洞，CVSS 9.8。攻击者通过 OGC Filter 函数参数（如 CQL_FILTER、PropertyName）拼接未净化的 property name 到 SQL 语句中。
CVE-2023-24488 QR Code Generator XSS：code-projects.org 项目的 Stored XSS
CVE-2023-24488 是 code-projects.org 上发布的 QR Code Generator Web 应用中的 Stored XSS，CVSS 6.1。攻击者通过 QR Code 文本字段注入 javascript: 协议 URL，生成的 QR Code 在被扫描或预览时触发 XSS。
2022
CVE-2022-48110 CKEditor 5 XSS：data-url 协议的 sanitizer 缝隙
CVE-2022-48110 是 CKEditor 5 v35.4.0 之前版本的 Stored XSS，CVSS 6.1。攻击者通过特殊构造的 标签绕过 HTML 净化逻辑，在 CKEditor 5 模型层注入 javascript: 伪协议。
CVE-2022-41082 Microsoft Exchange RCE：ProxyNotShell 攻击链前置
CVE-2022-41082 是 Microsoft Exchange Server 15.2 (Build 986.5) 之前版本的 SSRF 漏洞，CVSS 8.0，ProxyNotShell 攻击链的前置步骤。攻击者通过 OWA 端点构造 SSRF，可串联 CVE-2022-41040 触发 RCE。
MetaMask 浏览器扩展钱包 demonic 漏洞分析
MetaMask 在 2022 年 6 月公开了 demonic vulnerability（恶魔漏洞），影响版本 < 10.11.3。导入助记词时点击 Show Secret Recovery Phrase 会导致明文助记词被浏览器缓存到本地磁盘的 Sessions 目录，可被其他应用读取或通过物理接触恢复。慢雾安全团队完成漏洞复现并协助多家扩展钱包项目方修复。
MetaMask Clickjacking 漏洞分析：iframe 劫持与钓鱼白名单绕过
MetaMask 在 2022 年 6 月公开了一个严重的 Clickjacking 漏洞。攻击者利用 web_accessible_resources 暴露的 phishing.html 页面，通过 iframe 嵌入解锁的钱包页面诱导用户转账，或绕过钓鱼警告白名单。慢雾安全团队复现漏洞并检测出 Coinbase Wallet、Coin98 Wallet、Maiar DeFi Wallet 等多个 Fork 项目受影响。
2021
天价手续费分析：ethjs-util 浮点型数据处理缺陷
一笔转账金额 10w USDT 但手续费高达 7676 ETH 的天价手续费交易，根因是 ethjs-util 的 intToBuffer 函数不支持浮点型数据。浏览器 JS 和 Node.js 对浮点型 hex 字符串的处理差异导致 buffer 写入错误值，最终产生错误的手续费计算。
CVE-2021-39316 DZS Zoomsounds：未授权任意文件读取
CVE-2021-39316 是 DZS Zoomsounds WordPress 插件 6.45 之前的未授权任意文件读取漏洞，CVSS 7.5。攻击者通过构造特殊请求触发 download 功能读取服务器任意文件（如 wp-config.php），获取数据库密码等敏感信息。
CVE-2021-34527 PrintNightmare：Windows Print Spooler 的 SYSTEM 级 DLL 加载陷阱
PrintNightmare 是 2021 年披露的 Windows Print Spooler 远程代码执行漏洞（CVSS 8.8），攻击者通过 SMB 共享托管恶意 DLL，借助 RpcAddPrinterDriverEx 在 SYSTEM 上下文中执行任意代码。本文还原漏洞机制、攻击链与进程树，并给出补丁与配置层面的处置建议。
CVE-2021-3129 Laravel Ignition RCE：Debug 模式下的 phar 反序列化路径
CVE-2021-3129 是 Laravel 8.4.2 及以下在 Debug 模式 + Ignition <= 2.5.1 时的 phar 反序列化 RCE，CVSS 9.8。攻击者通过 _ignition/execute-solution 端点结合 phar:// 协议包装器与 log file clearing，实现任意 PHP 对象实例化与 RCE。
2020
CVE-2020-10770 Keycloak SSRF：一个 OIDC 参数暴露内部服务器
CVE-2020-10770 是 Keycloak 13.0.0 之前版本中的服务端请求伪造（SSRF）漏洞，CVSS 6.1，由 OIDC 认证流程中 request_uri 参数缺乏充分校验导致。Keycloak 服务端盲目跟随攻击者放入 request_uri 的任意 URL，将身份提供者本身变成任意出站请求的代理。在实践中，攻击者借此可以触达通常被防火墙隔离的内部服务、从 Keycloak 服务端所在网络位置进行端口扫描，而最具破坏性的是——从 EC2/Azure/GCP 上 169.254.169.254 的 IMDS 端点拉取云凭据材料，往往直接导致云账号被接管。根因在于该功能本用于从已知客户端获取签名的 request_uri JWT，却缺少 URL 出站控制：Keycloak 12.x 及更早版本将参数原样转发给 HTTP 客户端，攻击者放入的任何 URL 都会在服务端自身网络上被请求。升级到 13.0.0+ 可修复此漏洞，但在那之前，运维人员需要明确的网络出站策略阻断私网 IP 段和 IMDS，并在 EC2 上强制使用 IMDSv2。
CVE-2020-5902 F5 BIG-IP TMUI RCE：从文件读取到 root 命令执行
CVE-2020-5902 是 F5 BIG-IP 流量管理用户界面（TMUI）中的远程代码执行漏洞，CVSS 9.8。攻击者通过精心构造的 URL 触发 TMUI 解析器的目录穿越，进而读取任意文件并通过 tmsh 隐藏命令执行获得 root 权限。
CVE-2020-981 CKEditor 4 XSS：富文本编辑器的 sanitizer 边界
CVE-2020-981 是 CKEditor 4 富文本编辑器在 v4.13 之前版本对 HTML 净化逻辑的 bypass，CVSS 6.1。攻击者构造特定 HTML payload 绕过内置 sanitizer，实现 Stored XSS，进而可在 RCE 链中作为前置步骤。
CVE-2020-0601 CurveBall：Windows CryptoAPI 的 ECC 椭圆曲线欺骗
CVE-2020-0601 是 Windows CryptoAPI (Crypt32.dll) 在验证 ECC 证书时未充分校验椭圆曲线参数，攻击者可利用「同形公钥」伪造可信证书，绕过 Windows 信任链。CVSS 7.8，影响 Windows 10/Server 2016/2019 全版本。
2019
CVE-2019-15107 Webmin 未授权 RCE:password_change.cgi 命令注入
CVE-2019-15107 是 Webmin <= 1.920 中 password_change.cgi 在 user password change 启用时的命令注入漏洞，CVSS 9.8。未授权攻击者通过在 old 参数注入 | 触发的 unix_crypt 路径实现 RCE，PoC 可执行 ifconfig、nc 反向 shell 等命令。
2017
XXE 学习之路：Step by Step
对 XML 外部实体注入（XXE）从 DTD 基础、实体声明到有回显/无回显利用进行系统梳理，覆盖 file/http/php 协议、参数实体外带数据通道与 XML Schema/schemaLocation/XInclude/XSLT 等拓展攻击面，并补充 libxml2 版本演进、PHP 8 默认禁用、OWASP Top 10 2021 合并到 Security Misconfiguration 等现代防护变化。
初探反序列化与 POP CHAIN
PHP 反序列化漏洞是 Web 安全的经典话题。本文从 __destruct 魔术方法的基础利用出发，逐步过渡到跨类跟踪数据流的 POP CHAIN 构造，并补充 phar 反序列化、PHP 8 序列化接口变化与现代框架 gadget chain 等现代发展。这是 2017 年入门文章的修订版。
文件包含与伪协议小总结（一）
系统梳理 PHP 文件包含漏洞与常见伪协议（file://、php://filter、php://input、zip://、bzip2://、zlib://、data://）在 allow_url_fopen 与 allow_url_include 不同组合下的可用性，补充 PHP 5.3.4 截断修复与现代 PHP 7+/8.x 加固建议。
Oracle SQL 注入方式小总结
整理 Oracle 数据库 SQL 注入的常用方式，覆盖 UNION、报错、带外通信、布尔盲注与时间盲注五类。结合 Oracle 与 MySQL 的差异（dual 虚表、强类型匹配、数据字典视图），补充 11g R2 后 ACL 对网络包函数的限制与现代防御建议，方便快速测试与漏洞挖掘。
一道 CTF 题引发的思考：MySQL 的几个特性
从一道盲注 CTF 题出发，梳理 MySQL 四个容易被忽略的特性：字符串比较大小写不敏感、数字字符串与数字相等、hex() 返回字符串、char() 返回 BINARY 字符串。结合宽字节注入与 hex() 二次编码绕过过滤实现大小写敏感盲注，附 Python 3 自动化脚本。
CVE-2017-9841 PHPUnit eval-stdin.php 远程代码执行：当 PHP 测试框架成为 Web 入口
CVE-2017-9841 是 PHPUnit 的 eval-stdin.php 文件远程代码执行漏洞，CVSS 9.8。该文件被开发环境意外部署到生产环境，攻击者通过 POST 请求直接执行任意 PHP 代码，无需认证。
2016
CVE-2016-3053 IBM AIX 提权漏洞：底层 libc 系统调用的信任缺失
IBM AIX 6.1/7.1/7.2.0.2 中的一处 libc 系统调用存在权限验证缺失，本地普通用户可通过调用 setauthdb 或 ruserok 等接口提权到 root，CVSS 9.8。本文还原漏洞机制、PoC 利用与补丁路径。