What's Happening in the Application Security Arena?

反驳“部署 WAF 优于修复漏洞代码”的观点：WAF 可被手工构造的请求绕过、需要持续调优、自身也有缺陷；渗透测试中常见自动化 SQL 注入被拦截而手工注入成功。WAF 应是纵深防御的一层，而非替代安全编码。

NetSPI 用 AI 编码工具「vibe coding」构建了一个 Web 应用并进行安全测试，结果好坏参半，说明 AI 生成代码仍需主动安全审查。

深度解析 JavaScript 原型污染漏洞：攻击者通过控制未声明的变量篡改对象原型，使所有对象意外获得特定属性，配合弱类型判断可在客户端触发 XSS、在服务端实现远程代码执行；文章从原型机制讲起并演示利用过程。

开源不等于安全：某企业使用的开源框架自 2012 年后未再更新，代码审计发现逾万条问题中近 80% 出自该框架，含 SQL 注入与存储型 XSS。建议对第三方代码做安全评估，及时修补或替换被弃维护的框架。

CA SiteMinder 开箱即可拦截常见 SQL 注入与 XSS，但当业务要求浏览器直接传递完整 SQL 语句时，为放行而调整的策略会让防护形同虚设；SiteMinder 自带的标准页面（login.fcc、smpwservicescgi.exe 等）也可能沦为 XSS 载体。

HackerOne 博客（原页面已无法访问）统计：一年内组织为 XSS、不当访问控制、信息泄露、SSRF 等 10 类获赏最多的漏洞类型累计向黑客支付约 2350 万美元赏金。