从一条注释执行任意 Python 代码

Bishop Fox 公告：Twisted Web 19.10.0 存在两个 HTTP 请求拆分（走私）漏洞，可致缓存污染、会话劫持与过滤绕过，请升级至 20.3.0rc1。

Trail of Bits 开源模糊测试库 ProtoFuzz：从 .proto 定义生成填充恶意值的合法 protobuf 消息，用于攻击反序列化背后的业务代码，支持 linear 与 permutation 两种变异策略。

这篇内容为安全团队开展监测、验证和修复提供最新背景。

这篇题解清晰拆解了针对 Ruby ERB 模板注入的 Payload 构造与正则绕过技巧，具实战教学价值。

GitLab 漏洞研究团队披露针对 PyPI 的 Shai-Hulud 蠕虫模仿攻击：五个恶意包仿冒 Flask、Requests、NumPy 并投毒合法项目 mflux-streamlit，利用 .pth 文件在安装时自动触发，窃取主流云平台 CI/CD 凭据。

滥用 Python 的微妙行为——os.path.join 截断、urljoin 解析怪癖与类污染——把开发者的想当然变成路径遍历甚至 RCE，附载荷构造指引。