Vulnerability Alert: FCKeditor Arbitrary File Upload

一个 Metasploit 模块可将任意文件上传转化为 Windows 后端的 shell：生成 JSP、PHP、ASP、ASPX、CFM 等语言的 webshell，执行 base64 编码的 PowerShell 命令以运行 MSF payload，绕过杀毒软件拦截。

NetSPI 用 AI 编码工具「vibe coding」构建了一个 Web 应用并进行安全测试，结果好坏参半，说明 AI 生成代码仍需主动安全审查。

NetSPI 开源工具 Wopper 可利用 WordPress 管理员凭据自动化实现代码执行：一条命令即可完成 PHP 文件的上传、混淆、执行与自删除，后台长时任务仍可存活，大幅提升红队测试效率。

深度解析 JavaScript 原型污染漏洞：攻击者通过控制未声明的变量篡改对象原型，使所有对象意外获得特定属性，配合弱类型判断可在客户端触发 XSS、在服务端实现远程代码执行；文章从原型机制讲起并演示利用过程。

NetSPI 分析 TOTP 动态口令为何已难以抵御坚定攻击者：通过暴力破解场景演示 30 秒有效期口令被攻破的过程，并建议改用更强的双因素认证方案替代传统 TOTP。

XPath 注入实战剖析：当应用拼接 XML 查询且未校验输入时，攻击者可借助特殊字符探测语法错误，实现认证绕过、敏感数据窃取与业务逻辑干扰，文章提供可复现的靶场环境与 Burp Suite 检测手法。