精选

为什么值得看：通告说明了 Astro 的 JSX/MDX 渲染在动态字符串子节点上未转义，并给出 7.3.2 修复版本与规避写法。

为什么值得看：公告给出了可复现的 PoC 与实测耗时表，说明单个超长整数字面量即可阻塞 Node.js 事件循环。

为什么值得看：通告说明这是 CVE-2026-84428 修复不完整留下的缺口，并给出 5.12.6 升级与两种规避写法。

为什么值得看：通告说明使用 App Router 与 Cache Component 且 use cache 函数返回多个 typed array 的应用存在 RCE 风险，且无规避方案。

为什么值得看：通告说明了动态与通配路由下 appMiddleware 被百分号编码绕过的条件，并给出修复版本与页面级中间件的规避方案。

为什么值得看：通告说明大小写变体路径会跳过 redirect、headers 等服务器端路由规则，并给出 Nuxt 3 无修复的处置建议。

为什么值得看：通告给出了触发条件、实测耗时与修复版本，并说明常规深度限制和 WAF 为何挡不住这类校验期 DoS。

为什么值得看：通告说明了 max_tokens 未统计注释 token 的计数缺口，并给出升级后注释计入上限的行为变化。

为什么值得看：报告给出可运行复现与 npm 各版本实测差异，说明非原始类型 path 段如何绕过键名检查写入 Object.prototype。

为什么值得看：通告给出受影响版本区间与 1.45.1 修复版本，并说明默认传播配置下即可触发，便于确认部署风险。

为什么值得看：公告给出可复现的 ipynb 片段，说明恶意 cell 输出文件名如何穿越目录写入任意位置，便于验证与排查。

为什么值得看：披露 PyJWT 空 HMAC 密钥校验缺口的同时给出可运行的伪造令牌复现流程，便于自查 JWKS 配置。

为什么值得看：通告说明 stream-json 的 FlexAssembler 在字符串或 RegExp 过滤规则下存在平方级 CPU 消耗，并给出 maxDepth 默认 1024 的修复。

为什么值得看：通告说明 Next.js 图像优化依赖的上游库存在内存问题，并给出 sharp 版本与升级两条规避路径。

为什么值得看：通告说明启用 Cache Components 后嵌套 use cache 函数的缓存键会漏掉 root param，导致跨值内容串用，且无规避方案。

为什么值得看：在官方补丁发布前，梳理了 session.upload_progress.enabled=0 等临时措施的实际边界，以及无法立即打补丁时的隔离与收敛思路。

为什么值得看：修复覆盖 7.0 以来全部版本，且 10 月 12 日刚升级的实例仍落在影响范围内，运维需要重新核对版本。

为什么值得看：通告列出 10 个修复项与各版本对应关系，并交代 Brotli 漏洞的公开 PoC 仅在削弱构建上达成代码执行。

为什么值得看：PHP 核心内存管理与错误处理中的两个 9.2 分漏洞影响面覆盖默认配置，通告给出了明确的修复版本与受影响部署形态。

为什么值得看：Fortinet 通告说明 PHP 的 OOM 处理缺陷可致 RCE，并列出仍在排查与确认不受影响的自家产品清单。