标签
Dnsmasq中的一个堆缓冲区溢出漏洞（CVE-2026-2291）允许通过恶意上游DNS服务器进行远程代码执行。该问题在2.73版本中引入，并在2.92rel2和2.93版本中修复。
ProjectDiscovery发布的一篇详细报告，阐述了他们如何发现苹果Book Travel门户中通过Masa/Mura CMS存在的严重SQL注入漏洞，并实现了远程代码执行。
黑客正积极利用WordPress插件Everest Forms Pro中的一个严重远程代码执行漏洞（CVE-2026-3300），该漏洞影响1.9.12及以下版本。漏洞允许将未转义的表单值传递给eval()，从而实现完全控制网站。Wordfence敦促立即更新插件。
Nginx 重写模块中的一个关键堆缓冲区溢出漏洞（CVE-2026-42945）允许未经身份验证的远程代码执行，并且已经发布了概念验证漏洞利用代码。该漏洞影响 Nginx 0.6.27 到 1.30.0 版本以及多个 Nginx Plus 版本。
研究人员利用自动化系统发现NGINX重写模块中一个自2008年以来存在的严重堆缓冲区溢出漏洞（CVE-2026-42945），可实现远程代码执行。多个CVE已获NGINX确认。
一位安全研究员发现 Claude Code 中存在远程代码执行 (RCE) 漏洞，该漏洞由深层链接设置的不当解析引起，允许通过钩子 (hooks) 注入任意命令。此问题已在版本 2.1.118 中修复。
本文详细介绍了 CVE-2025-5518（React2Shell）的发现与披露过程。这是一个存在于 React Server Components 中的严重远程代码执行漏洞，研究人员通过绕过 Flight 协议的验证机制来访问对象原型。
安全研究员 Lachlan 于 2025 年 11 月 30 日发现并报告了一个名为“React2Shell”的严重远程代码执行漏洞，该漏洞存在于 React 服务器组件协议中，并向 Meta 进行了报告。Meta 于 12 月 3 日发布了修复程序和安全公告（CVE-2025-55182），敦促开发者立即更新，因为该漏洞影响了数百万使用 React/Next.js 构建的网站。