ActiveX + XSS = ActiveXSS 完美利用

NetSPI 讲解 CSRF 原理与利用面（图片标签、钓鱼链接、XSS 注入等向量均可发起请求），并给出用 Burp Proxy 对带 CSRF 防护的应用做参数模糊测试的实操步骤，指出 token 防护难以做到百分百，测试时需同步维护会话与 token 值。

NetSPI 披露 CVE-2026-78902：pfSense 的 pfBlockerNG 插件存在存储型 XSS 漏洞，攻击者仅需一个 DNS 请求即可将其升级为远程代码执行。

NetSPI 在客户渗透测试中发现 CVE-2024-37888：CKEditor 4 的 Open Link 插件存在 XSS 漏洞，攻击者诱导用户在编辑器中点击恶意超链接即可执行任意 JavaScript，最新版本同样受影响；漏洞存在于插件代码而非 CKEditor 4 本体。

self-XSS 并非总是无效漏洞：当管理员查看普通用户资料时，注入的 payload 会在其会话中执行。文章还建议用外部日志回调验证 payload 是否被其他用户触发，帮助评定 self-XSS 的真实风险。

应用接入 Azure AD 的 SCIM 自动开通后，直接信任云端同步的名字字段：first/last name 未做输出编码即写入页面，形成两处 XSS，其中一个还能外链 JS 弹出钓鱼登录框窃取凭据。

James Kettle 提出“反斜杠驱动扫描”：一种源自手工测试的替代方法，可发现并确认已知与未知类型的服务端注入漏洞，网络足迹极小。文中包含对数千站点的测试发现与配套工具发布。