一个过时的库，让 90 多家加密货币交易所陷入风险

HackenProof 博客警告：由于在平台中内嵌了某个过时且存在漏洞的组件库，90 余家加密货币交易所暴露在风险之中。

CVE-2026-93485 是 WordPress 核心 wpautop() 渲染逻辑中的未认证存储型 XSS：攻击者提交构造评论后，在块主题渲染时页面加载即触发零点击 XSS，并可借管理员会话上传插件升级为 RCE。该漏洞已在 WordPress 7.1.1 修复并回溯支持至 4.7.36 分支。

面向中心化交易所的全球合规地图：覆盖欧盟（MiCA、DORA）、美国、亚洲、拉美与阿联酋的牌照与反洗钱制度，并阐述为何安全测试与事件响应已成为监管要求的一部分。

Google 分享在复杂 Web 应用 AppSheet 中落地 Trusted Types 的案例研究，介绍如何借助该机制防御 DOM XSS 并逐步完成大规模前端改造。

Gareth Heyes 剖析 DOM Invader 检测 DOM XSS 时常见的 eval 异常现象：直接 eval 调用可访问所在函数的局部作用域变量，而通过别名引用的间接 eval 只在全局作用域执行，局部变量不可见。理解两者差异有助于准确判读 DOM Invader 的报错行为。

PortSwigger 升级了 DOM Invader，使其只需几次点击即可发现客户端原型污染（CSPP）。文章讲解了原型污染的 source 与 gadget 原理，并演示如何利用该工具识别、利用此类漏洞。