cve-2026

一、背景 最近笔者看到某测绘平台在2026年11月的检索数据，WordPress Core 竞争条件远程代码执行漏洞(CVE-2026-119977)关联的全球风险资产总数为1219476个，关联IP总数为379271个，国内风险资产总数为48714个，关联IP总数为14700个。涉及的资产还挺多，竞争条件导致的远程代码执行，刚好有时间，在这里搭环境研究下。 （以下所有环境均为笔者本地搭建环境复现

摘要 rConfig 是一款在现代企业网络中广泛使用的开源网络配置管理（NCM）系统，用于集中管理 Cisco、华为等核心网络设备的配置备份与合规性检查。由于其服务器内明文或弱加密保存着大量核心网络设备的 SSH/Telnet 凭据，一旦失陷，极易引发“一点突破，全网沦陷”的灾难性后果。 本文将针对 rConfig 中被披露的 CVE-2026-124079 漏洞进行深度剖析。该漏洞源于 rCon

写在前面 happy-dom 是一个用 JavaScript 实现的 DOM 运行时。它被大量前端项目放进 Vitest / Jest 的测试环境，也被用在 SSR 预渲染、HTML 转换和爬虫里。这些场景有一个共同点： HTML 往往来自不可信的一方 ——用户评论、富文本、抓回来的第三方页面、上传的模板。 在浏览器里，页面里写了 ，浏览器就会去加载它，这是规范行为，没有人觉得奇怪。问题在于，当同

GPUStack 把「来源是回环」当作内置管理员身份；本文拆开这条判据背后的两条取值通道，并核对两笔修复各自关掉了哪一半、又留下了什么。