作者 caveeroo 公开了针对 Moodle 题库 SQL 注入 CVE-2026-102578（CWE-89）的 Python PoC，仅依赖标准库，通过布尔表达式判断和逐字节提取标量值，并内置 22 个预设用于读取重置令牌、会话、OAuth 密钥等数据库存储值。
为什么值得看：公开的 Python PoC 针对 Moodle 题库 SQL 注入，可布尔盲注逐字节取值，并附受影响版本与修复版本对照。
研究者 Amin İsayev 公开 CVE-2026-57829 的 PoC，指出 JoomShaper Helix Ultimate Framework 2.2.6 中 plg_system_helixultimate 的 onAjaxHelixultimate() 会按 task 参数调用 HttpResponse 命名空间下的静态方法。
为什么值得看：作者给出了从 com_ajax 免认证写入菜单参数到前台存储型 XSS 的完整链路和可运行 PoC，并附检测脚本。
BlogEngine.NET CMS 3.3.8.0 及更早版本存在 CVE-2023-33404，拥有 EditOwnPosts 权限的用户可向 /api/upload 端点发送带 action=video 参数的 POST 请求，将恶意文件上传至硬编码目录，随后请求该文件即可实现 RCE。
作者公开了针对 Drupal 11.4.9 三个漏洞的复现实验环境与 PoC，涉及 SA-CORE-2026-014（field_ui 的 RCE，CVE-2026-108097）、SA-CORE-2026-015（link 模块 htmx 事件处理器存储型 XSS。
为什么值得看：三个 Drupal 11.4.9 漏洞的复现实验环境与 PoC 均已公开，附有上游补丁 diff，可用于验证自身站点是否受影响。
Unit 42 将 2025 年 10 月至 2026 年 4 月针对政府实体及国家附属基础设施的活动追踪为 CL-UNK-1211，攻击者使用 AI 生成的 PHP 与 shell 载荷，脚本中带有对话式注释和开发者推理说明。
Drupal 安全团队发布 SA-CORE-2026-014，指出 Drupal core 的 Field UI 模块存在远程代码执行漏洞 CVE-2026-108097，仅靠核心无法直接利用，但配合贡献模块存在多条严重利用路径，其中至少一条已知路径无需认证。
为什么值得看：通告给出了受影响版本区间、修复版本和卸载 field_ui 的临时缓解办法，运维可据此判断升级或临时处置。
PHP 发布安全通告，8.5.12、8.4.27、8.3.36 和 8.2.35 修复两个可导致免认证远程代码执行的漏洞，建议所有 PHP 用户立即更新。
为什么值得看：PHP 官方通告给出两个 RCE 的受影响版本、修复版本与临时缓解配置，运维可据此判断升级或加固路径。
Exploit-DB 发布 Krayin CRM ≤ 2.2.4 的 IDOR 漏洞 CVE-2026-100885 的 PoC，作者 bl4dsc4n 在 docker + Ubuntu 24.04.4 LTS 上测试。
InvoicePlane 1.7.1 的安装模块未正确过滤 db_hostname 参数，攻击者可注入任意配置值，实现环境变量篡改、开启调试模式，并视部署情况可能导致 RCE，漏洞编号 CVE-2026-40297（GHSA-ffq5-mw9f-mv6j）。
Exploit-DB 公开 Food-Ordering 1.0 的本地文件包含（LFI）利用代码，攻击者需已认证，通过向 /web/admin/update_category.php 的 id 参数传入恶意值可触发目录遍历，读取敏感文件甚至完全控制服务器。该利用被标记为 HIGH 级别，作者 nu11secur1ty 于 9/23/2026 提交，附有完整 POST 请求载荷。
针对 SuiteCRM 8.10.1 的认证后 SSRF 漏洞 CVE-2026-69137 已发布 PoC 利用脚本，攻击者登录后通过 CalendarAccount 模块的 testConnection 动作提交任意 server_url，由 SuiteCRM 发起请求。
Exploit-DB 公开了 WordPress 7.0.2 路径穿越漏洞 CVE-2026-87902 的 PoC 脚本，该漏洞已在 7.1.2 和 7.0.6 修复，并向下回溯至 4.7.37。
为什么值得看：公开的 PoC 脚本与两阶段请求流程，展示了模板解析路径穿越如何借 PEAR 写入并执行 PHP 文件。