CVE-2026-78902：一个 DNS 请求实现 pfSense 从 XSS 到 RCE

Big Bugs 播客第 5 期探讨“大杀伤力 XSS”并非矛盾修辞：XSS 常被视为低价值漏洞，但结合利用链可支撑勒索软件、账户接管等真实攻击。节目同时讨论 XSS 为何长期占据漏洞榜单，以及研究者应如何证明其真实影响。

CVE-2026-93485 是 WordPress 核心 wpautop() 渲染逻辑中的未认证存储型 XSS：攻击者提交构造评论后，在块主题渲染时页面加载即触发零点击 XSS，并可借管理员会话上传插件升级为 RCE。该漏洞已在 WordPress 7.1.1 修复并回溯支持至 4.7.36 分支。

作者分析 Sophos XG Firewall 的 CVE-2022-1040 认证绕过漏洞：先梳理 Apache → Jetty → CSC（C 语言实现、逻辑由 Perl 编写）→ PostgreSQL 的整体架构，再对比补丁——Jetty 层新增 Filter 对输入 JSON 过滤掉小于 0x20 的不可打印字符及大于 0x7f 的 Unicode 字符，提示漏洞源于不同 JSON 库解析不一致，绕过认证后可进一步实现 RCE。

该漏洞影响 4.7.0 至 7.1.0 之间的所有 WordPress 版本，无需身份凭证且仅需管理员浏览即可实现全自动 RCE。各组织应尽快升级到 7.1.1 或官方回迁修复补丁，并在网关和主机侧监控异常评论提交及非常规插件上传行为。

作者在 Cisco Smart Software Manager（CSSM）的 nginx 证书上传功能中发现一个认证后 RCE：openssl 证书校验经由 childProcess.execSync 执行，构造恶意 TLS 证书即可实现命令注入，且可通过自签 CSR 绕过多层校验逻辑。该漏洞在报告完成前已被 10-202608 升级静默修复，文章详细分析了利用路径与官方补丁方式。

Palo Alto Networks 披露 PAN-OS 零日漏洞 CVE-2026-0300：User-ID Authentication Portal（Captive Portal）存在预认证缓冲区溢出，未认证攻击者可获取 root 权限 RCE，已在野利用；补丁发布前需立即收紧门户暴露面并加强日志监测。