严重性评分错在哪里:“只需加上原型污染”

Bugcrowd 平台新增 CVSS v3.1 与自有漏洞评级体系 VRT 的自定义映射功能：为提交的漏洞分配 CVSS 分数后，系统自动预填对应的 P1–P5 VRT 严重级别，帮助安全团队统一漏洞优先级评定标准。

深度解析 JavaScript 原型污染漏洞：攻击者通过控制未声明的变量篡改对象原型，使所有对象意外获得特定属性，配合弱类型判断可在客户端触发 XSS、在服务端实现远程代码执行；文章从原型机制讲起并演示利用过程。

介绍由 FIRST 维护的通用漏洞评分系统（CVSS）：通过攻击向量、攻击复杂度、所需权限、用户交互等基础指标计算漏洞严重性分数，帮助组织确定补丁优先级，并简述 v2 到 v3.1 的演进。

Bugcrowd 平台更新将漏洞评级分类法 VRT 映射到 CVSS v3，验证后的提交会自动建议 CVSS 评分并可手动调整；VRT 1.3 还新增与 OWASP Top 10 2017 对齐的 Broken Access Control 分类。

Axios 被评为「严重」（10/10）的 CVE-2026-40175 实际难以利用：该 gadget chain 依赖 CRLF 请求头注入，而 Node.js、Bun、Deno 早已在运行时层面拦截请求头中的 CRLF 字符。底层缺陷真实存在、修补正确，但「轻易拿下云凭证」的说法经不起推敲。

npm v12 转向显式信任模型：通过 allowScripts、--allow-git、--allow-remote 三项新控制，默认阻止安装期脚本、Git 与远程 URL 依赖；这些向量占过去一年恶意 npm 攻击的约 53%。