GitHub 安全公告指出，Vitest 5 在启用 UI（--ui）、Browser Mode 或 api 时，Vite 的 server.fs.deny 未被按预期应用，能访问该服务器的客户端可通过明文 HTTP 读取 .env、私钥与证书、.npmrc、.git 以及 Vitest 的 API token 文件 .vitest-secret-token。
为什么值得看：通告说明了哪些 Vitest 启动方式会暴露文件、哪些不受影响，并给出显式配置 server.fs.deny 的规避写法。
pypdf 存在未校验 JPEG 图像数据加载问题，攻击者可构造 PDF 触发任意图像解析器被调用，需加载声称使用 /DCTDecode 过滤器的图像。未安装可选 Pillow 依赖的用户不受影响，该问题已在 pypdf 6.21.1 中修复，无法升级者可参考 PR #4222 的改动作为规避方案。
Pillow 的 libtiff 编码器 PyImaging_LibTiffEncoderNew（src/encode.c）在把源 TIFF 中未识别的标签转发给 TIFFSetField 时，按 Python 值而非 libtiff 字段定义决定传参形式，导致构造的 TIFF 标签被当作字节数或指针读取。
为什么值得看：材料给出可运行的复现脚本与逐分支分析，展示了普通 open 后 save 即可触发内存泄露或崩溃的路径。
virtualenv 内置创建器在创建环境前调用 ensure_dir() 处理 bin、lib 等目录，因 exists() 会跟随符号链接，攻击者预先在目标目录放置指向外部的目录链接后，创建过程会经该链接把 python、pip、activate 等文件写到请求目录之外。
Sploitus 收录的 Cacti CVE-2024-25641 利用条目指出，入口为 import_file 参数，请求路径为 /package_import.php，通过 Package Import 功能实现任意文件写入。应用未对上传 XML 数据中的文件名与内容做过滤，攻击者可写入或覆盖 Web 服务器上的任意文件，例如 PHP 文件。
针对 CVE-2020-10977，有研究者发布了一个 GitLab 12.9.0 及以下版本任意文件读取的 Python 利用脚本，已在 GitLab 12.8.1 上测试。该脚本改用 Web GUI 账号密码认证，通过创建两个项目并跨项目移动带恶意 payload 的 issue 读取任意绝对路径文件，退出时自动清理项目。
OpenSSF 恶意包库更新 MAL-2026-2144，将 PyPI 上的 litellm 1.107.0 标记为恶意，该版本于 2026-10-21 11:39 至 11:40 UTC 上传，含上游源码中没有的凭据窃取程序与远程代码执行后门，注入发生在构建或上传阶段。
CISA 警告攻击者正在积极利用 Plex Media Server 的四个漏洞，合称 Plex2Shell，串联利用后可获取所有者 admin token 并以提升权限执行代码，联邦机构须在 10 月 23 日前完成修补或缓解。
为什么值得看：CISA 将 Plex2Shell 四个漏洞列入在野利用并给出联邦修复期限，同时把 Siemens 与 SiteGuard 的漏洞一并加入 KEV。
djust v1.1.4 的 MCP 工具 find_handlers_for_template 在 template_path 为已存在的绝对路径时直接 open() 读取，未做 realpath 前缀校验，可读取进程有权限访问的任意文件。
Storybook 发布安全通告，指出运行受影响版本的 Storybook 开发服务器时，恶意网站可能对开发者项目造成未授权文件修改，在附加条件下被修改的文件可能以开发者权限被本地运行时执行；官方称未发现已在野利用。
为什么值得看：通告给出四个受影响大版本的修复版本，并说明默认行为变更，开发者可据此判断升级与工作流调整。
Exploit-DB 公开了针对 Open eClass 3.15 的 RCE 利用代码，对应 CVE-2024-26503，该漏洞由不受限文件上传导致。利用需提供登录用户名和密码，先登录后向 modules/admin/certbadge.php 上传 execute.php，再通过 badge_templates 路径以 cmd 参数执行命令。
研究者公开 php2shell 工具包，针对 PHP2Shell 的 CVE-2026-109618 与 CVE-2026-109619 提供利用脚本、IOC 狩猎、Sigma 与 ModSecurity 规则及侦察工具，所有验证均在 nginx 1.26.3 + PHP-FPM 8.3.32 实验环境完成。
同一件事，精选收录的是《PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619 补丁前已出现利用，CVSS 9.4》
php2shell 工具包公开了 CVE-2026-109618 与 CVE-2026-109619 的利用代码与检测模板，作者称全部内容已在 nginx 1.26.3 + PHP-FPM 8.3.32 实验环境中执行验证。
同一件事，精选收录的是《PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619 补丁前已出现利用，CVSS 9.4》
php2shell 工具包针对 CVE-2026-109618（GHSA-w8hw-w9fx-j79w，OOM/longjmp 内存破坏）与 CVE-2026-109619（GHSA-6wmf-4rv5-p3rp，陈旧全局状态）公开了可运行的利用代码与检测模板，作者称全部在 nginx 1.26.3 + PHP-FPM 8.3.32 实验环境中验证。
同一件事，精选收录的是《PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619 补丁前已出现利用，CVSS 9.4》
Vite 的 `?vite-wasm-instance` 查询由内部 Wasm 插件的 `load` 钩子处理，该钩子未应用 `server.fs` 检查，直接读取磁盘文件并尝试按 WebAssembly 解析，解析失败时 Node 与 Deno 的报错会带出文件前 4 字节。
GitHub 安全公告 GHSA-rq7h-c2jc-7f22 指出，Vite 开发服务器在非 Windows 机器上，当项目导入文件的根相对路径与宿主机绝对路径相同时，可把 server.fs.allow 之外的文件内容返回给浏览器，例如 /etc/hosts。
为什么值得看：公告给出了可复现的 curl 步骤，说明非 Windows 环境下 Vite 开发服务器如何把宿主机文件返回给浏览器。
研究者发布 PHP2Shell PoC，用 Docker 复现 php-src master 提交 b9ea38ef639 中 session.upload_progress 处理器的 bytes_processed 陈旧写入问题，运行后输出 BUG REPRODUCED，持久化的 bytes_processed 为 5461 而 Content-Length 为 9440。
php2shell 公开了 PHP 核心两个 session.upload_progress 漏洞 CVE-2026-109618 与 CVE-2026-109619 的 PoC，这两个漏洞已在 2026-10-21 发布的 PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 中修复。
同一件事，精选收录的是《PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619 补丁前已出现利用，CVSS 9.4》
php2shell 公开了 PHP 核心两个 session.upload_progress 漏洞 CVE-2026-109618 与 CVE-2026-109619 的 PoC，这两个漏洞已在 2026-10-21 发布的 PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 中修复。
同一件事，精选收录的是《PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619 补丁前已出现利用，CVSS 9.4》
gitjacker 可从误将 .git 目录上传到线上的站点下载 Git 仓库并提取内容，即使目录列表被禁用也能恢复仓库的相当一部分内容。该工具需本地安装 git 才能使用，提供 curl 安装脚本和预编译二进制两种获取方式，仅限教学与渗透测试用途。
公开的利用代码针对 Poultry Farm Management System v1.0 的 CVE-2024-40110，可免认证远程执行代码。利用程序向 /farm/product.php 上传 PHP 后门至 /farm/assets/img/productimages/ 目录，随后访问该文件执行命令，作者在 Windows 10 + Xampp v3.3.0 环境测试成功。
php2shell-scanner 是针对 CVE-2026-109618 / CVE-2026-109619 的非破坏性验证工具，用于检测 PHP session.upload_progress 文件名注入链的漏洞原语，不在目标上执行代码。
公开的 PoC 脚本针对 WordPress 插件 InstaWP Connect – 1-click WP Staging & Migration 的 CVE-2024-2667，该插件 0.1.0.22 及之前所有版本因 REST API 端点 /wp-json/instawp-connect/v1/config 文件校验不足，可被未认证攻击者上传任意文件。
公开的 TongDa-RCE 利用脚本将文件包含与文件上传组合，可实现远程 RCE。脚本提供两个用法：python3 tongda_rce.py target 执行远程利用，python3 tongda_shell.py target 获取 shell。原文未说明受影响版本区间与修复措施。
Sploitus 聚合到 CVE-2024-34470 的利用条目，入口为 /public/loader.php 的 path 查询参数。该文件未正确过滤文件与目录路径，攻击者无需认证即可读取服务器上的任意文件。
有人公开了 Apache Camel camel-grpc 漏洞 CVE-2026-85315 的可运行 PoC，演示 gRPC consumer 路由失败时异常消息被写入传给客户端的 Status description，从而泄露类名、路径、主机名和连接信息（CWE-209）。
Sploitus 收录了针对 BeyondTrust Remote Support ≤ 26.2.3 的认证绕过漏洞 CVE-2026-102764 的利用脚本，CVSS v3.1 评分 9.8，CWE-290，文中标注为 Active Exploitation（CISA BOD 26-04）。
为什么值得看：公开的利用脚本覆盖文件读写、命令执行与凭据导出，可用于自查 BeyondTrust Remote Support 是否暴露在同类伪造消息攻击下。
针对 WordPress File Manager（wp-file-manager）插件 6.9 之前版本的 CVE-2020-25213 利用脚本公开，攻击者可远程上传并执行任意 PHP 代码。
GitHub 仓库公开了 Windows Backup 服务任意文件删除漏洞 CVE-2023-21752 的 PoC，包含两个利用版本，v1 仅删除指定文件，v2 尝试借任意删除启动提权 cmd shell，作者称 v2 不太稳定、可能需多次运行，在物理机上效果更好。
CVE Simulation Lab 项目公开了一套可自行搭建的漏洞环境，每个实验目录都可用 Docker、Docker Compose 或 QEMU 启动，供安全复现与修复验证。
CVE-2024-24488 影响 Tenda CP3V2.0 V11.10.00.2311090948，本地攻击者可通过 `/app/userdata/ifcfg.wlan0` 文件读取所连 WiFi 路由器的明文密码。该漏洞属 CWE-313（文件或磁盘明文存储），利用需本地访问权限。
研究者 Joshua van Rijswijk 公开了 tar npm 包漏洞 CVE-2026-29786 的 PoC，构造含 C:../target.txt 这类盘符相对链接目标的归档，可在解压时把硬链接指向解压目录之外。
作者公开了针对 CVE-2026-109618 的 RCE 利用链，并在 PHP 8.4.4（php:8.4.4-cli）本地 Docker 环境中复现成功，通过 HTTP 获得 uid=0(root)。
GitHub 项目 CVE-2024-24919-PoC 公开了针对 Check Point Security Gateways 的利用代码，该漏洞允许无需认证的远程攻击者在网关接入互联网并启用 Remote Access VPN 或 Mobile Access Software Blades 时读取特定文件，可能泄露敏感信息并在某些场景下横向移动获取域管理员权限。
同一件事，精选收录的是《Check Point CVE-2024-24919 的 nuclei 模板与 curl 复现请求》
一个采用 AGPL 许可的 PoC 项目 CrossSiteContentHijacking（XSCH），用于演示跨站内容劫持攻击。
Sploitus 收录了 CVE-2018-15961 的利用材料，针对 Adobe ColdFusion 的 /cf_scripts/scripts/ajax/ckeditor/plugins/filemanager/upload.cfm 接口构造 multipart/form-data 请求上传文件，并给出上传后访问 uploadedFiles 路径的地址。
Apache Tomcat 存在信息泄露漏洞，成因是非阻塞写入过程中发生缓冲区下读（buffer under-read）。Red Hat CVE 数据库收录了该漏洞通告，具体受影响版本区间、CVE 编号及修复版本尚未在原文中给出。
filelock 的 SoftFileLock 存在符号链接跟随导致的信息泄露漏洞。
filelock 的 SoftFileLock 组件存在符号链接操纵导致的未授权文件暴露漏洞。攻击者可借助符号链接读取本不应访问的文件。Red Hat CVE 数据库收录了该漏洞通告。
Vite 存在信息泄露漏洞，成因是模块路径处理不当。Red Hat CVE 数据库收录了该问题，但通告未给出 CVE 编号、受影响版本区间与修复版本。