有人公开了 CVE-2026-111497 的 PoC，该漏洞位于 Node.js 内置 Brotli 库的 deps/brotli/c/dec/decode.c，影响 Node.js < 22.23.4、< 24.22.1、< 26.12.1，修复版本为 22.23.4、24.22.1、26.12.1。
为什么值得看：公开了针对 Node.js 内置 Brotli 解码器越界写漏洞的完整 Docker 复现环境与 PoC 脚本，可对照验证补丁前后的行为差异。
PortSwigger 的 Gareth Heyes 公开研究，展示如何利用 webmail 允许的 CSS 与 HTML 突破信任边界，涉及 Yahoo Mail、AOL Mail、Fastmail、ProtonMail、Gmail 和 Outlook。
为什么值得看：作者系统梳理了多家 webmail 的 CSS 净化绕过与利用链，其中 CSSOM 变异和 Outlook 净化器绕过是可迁移的检测思路。
Exodus Intelligence 分析了 Chrome 在 2026 年 3 月 3 日修复的 CVE-2026-3542，该漏洞源于 AsmJsParser 处理嵌套移位表达式时 heap_access_shift_position_ 状态被递归调用覆盖，导致 WebAssembly 操作码流被错误截断。
为什么值得看：文章从 AsmJS 解析器共享状态缺陷讲到绕过 Ubercage 沙箱的完整利用链，可看漏洞成因与利用原语的构造思路。