跳到正文
只看漏洞通告#注入
  1. GitHub 安全公告库 (GHSA)58

    Astro 修复 JSX/MDX 渲染中 script/style 内容未转义导致的反射与存储 XSS

    Astro 发布安全通告，指出 JSX 与 MDX 渲染管线对 script、style 元素的动态字符串子节点未做转义，攻击者可控值可提前闭合元素并注入任意 HTML 与 JavaScript，造成反射或存储 XSS。

    为什么值得看：通告说明了 Astro 的 JSX/MDX 渲染在动态字符串子节点上未转义，并给出 7.3.2 修复版本与规避写法。

  2. GitHub 安全公告库 (GHSA)58

    @graphql-tools/utils 的 mergeIncrementalResult 存在原型污染，12.0.2 已修复

    GitHub 安全公告披露 @graphql-tools/utils 的 mergeIncrementalResult 存在原型污染，攻击者可用数组形式的 path 段绕过 __proto__ 等键名检查，向 Object.prototype 写入任意属性。

    为什么值得看：报告给出可运行复现与 npm 各版本实测差异，说明非原始类型 path 段如何绕过键名检查写入 Object.prototype。

  1. GitHub 安全公告库 (GHSA)58

    ApostropheCMS import-export 存在 NoSQL 注入，update-key 值可匹配并覆盖未指定文档

    GitHub 安全公告披露 @apostrophecms/import-export 的 update-by-key 功能存在 NoSQL 注入：导入文档的 `slug:key` 值被直接用作 MongoDB 查询值，归档经 EJSON 解析后 `{ $ne: null }` 等操作符会成为有效值，从而匹配并覆盖导入者并未指定的既有文档。

    为什么值得看：公告说明该模块的 update-key 查询值未经清洗，并给出与 GHSA-79qf-vqgc-7xx3 同类的修复思路，便于开发者对照自查。

  1. Fortinet PSIRT 公告60

    Fortinet 修复 FortiAnalyzer 与 FortiManager SQL 注入漏洞 CWE-89

    Fortinet PSIRT 发布 FG-IR-26-178 通告，FortiAnalyzer、FortiManager 及其 Cloud 版本存在 SQL 注入漏洞 CWE-89，低权限用户可能通过构造请求执行任意命令。

    为什么值得看：通告列出 FortiAnalyzer 与 FortiManager 各分支的受影响版本区间和对应修复版本，运维可据此核对部署并安排升级。

  1. Patchstack WordPress 漏洞库58

    WordPress 7.1.3 安全版本修复七处漏洞

    WordPress 7.1.3 于 2026 年 10 月 6 日发布，包含七项安全修复和四项缺陷修复，修复已回移至至少 6.6 分支。

    为什么值得看：文章逐条说明 7.1.3 修复的七处问题及各自所需权限，便于站点管理员判断升级优先级。

  1. Drupal 安全公告58

    Drupal core 修复 CKEditor 第三方库 XSS 漏洞 SA-CORE-2026-013

    Drupal 安全团队发布 SA-CORE-2026-013 通告，指出 Drupal core 使用的 CKEditor 库存在 XSS 漏洞，受影响版本为 >=10.5.0 <10.6.17、>=11.0.0 <11.3.17、>=11.4.0 <11.4.7。

    为什么值得看：通告给出 Drupal core 各分支的受影响区间与对应修复版本，并提示贡献模块可能自带 CKEditor 插件需另行排查。

  1. Jenkins 安全公告67

    Jenkins 修复 Script Security 等 13 个插件漏洞，含多个沙箱绕过

    Jenkins 发布安全通告，修复 Script Security、Pipeline: Groovy Libraries、Robot Framework 等 13 个插件的 20 个漏洞，涉及 CVE-2026-92122 至 CVE-2026-92141。

    为什么值得看：通告集中列出 Script Security 等 13 个插件的修复版本，其中多个沙箱绕过可导致 Jenkins controller JVM 内任意代码执行。

  1. Jenkins 安全公告62

    Jenkins 发布安全通告修复核心与多个插件漏洞，涉及 CVE-2026-84645 等

    Jenkins 项目发布安全通告，修复 Jenkins 核心及 Allure、GitLab、SAML、Script Security 等插件的多个漏洞，核心受影响版本为 weekly 2.579 及更早、LTS 2.568.2 及更早，应升级至 2.580 或 LTS 2.568.3。

    为什么值得看：通告一次性列出 Jenkins 核心与 18 个插件的修复版本，运维可据此逐项核对升级清单。

已经到底了