CVE-2024-37888 – CKEditor 4 Open Link plugin XSS

self-XSS 并非总是无效漏洞：当管理员查看普通用户资料时，注入的 payload 会在其会话中执行。文章还建议用外部日志回调验证 payload 是否被其他用户触发，帮助评定 self-XSS 的真实风险。

Web 渗透 XSS 实战：常见 payload 被 WAF 拦截后，作者分析过滤逻辑、构造自定义 payload 成功绕过，并给出防护建议。

深度解析 JavaScript 原型污染漏洞：攻击者通过控制未声明的变量篡改对象原型，使所有对象意外获得特定属性，配合弱类型判断可在客户端触发 XSS、在服务端实现远程代码执行；文章从原型机制讲起并演示利用过程。

Gartner 统计 75% 的攻击经由 Web 应用发起，多数被扫描站点存在严重漏洞。作者建议开展安全编码培训、常态化代码审计与年度应用评估。

作者在 BlackFan 的 Content-Type 研究基础上深入探讨解析器差异问题：仅靠一个逗号，浏览器与 email.message 等 MIME 解析库就会对同一 Content-Type 值得出不同结果，攻击者可借此绕过类型校验实现 XSS，文中附有各库与框架的测试汇总表。

NetSPI 披露 CVE-2026-78902：pfSense 的 pfBlockerNG 插件存在存储型 XSS 漏洞，攻击者仅需一个 DNS 请求即可将其升级为远程代码执行。