每日安全动态推送(25/12/5)

• React 服务端组件远程代码执行漏洞（CVE-2025-55182）

React 服务端组件（RSC）中发现一个严重的远程代码执行漏洞（CVE-2025-55182），CVSS 评分为 10.0，影响多个 React 相关 npm 包版本，并波及使用 App Router 的 Next.js 应用（CVE-2025-66478）。该漏洞源于 RSC 'Flight' 协议中对不受信任输入的不安全反序列化，攻击者可以通过发送特制 HTTP 请求在未认证的情况下执行任意代码。漏洞在默认配置下即可利用，成功率极高，可能危及大量暴露的系统。安全研究人员估计，约 40% 的云环境受到影响。React 和 Vercel 已发布修复版本，并建议用户立即升级以缓解风险，同时部署 WAF 规则并监控流量以防止攻击。

• Apache SkyWalking 存储型 XSS 漏洞（CVE-2025-54057）

Apache SkyWalking 在 10.2.0 及更早版本中存在一个严重的存储型 XSS 漏洞（CVE-2025-54057），攻击者可以将恶意脚本持久化存储在服务器中，并在用户访问受影响的监控仪表板时自动执行，从而实现会话劫持、数据篡改或凭证窃取等攻击。该漏洞由安全研究员 Vinh Nguyễn Quang 报告，建议用户立即升级至 10.3.0 以修复漏洞，并部署 Web 应用防火墙（WAAP）进行防护。

• Angular HTTP Client XSRF 令牌泄露漏洞

Angular 的 HTTP Client 存在一个关键漏洞（CVE-2025-66035），攻击者可以利用协议相对 URL 泄漏 XSRF 令牌，从而绕过内置的 CSRF 防护机制。该漏洞允许攻击者以用户身份执行未授权操作。Angular 团队已为受影响版本发布补丁，建议开发者立即升级以防止潜在的跨站请求伪造攻击。

• DeckMate 2 洗牌机如何被利用进行德州扑克作弊

本文深度剖析了DeckMate 2自动洗牌机的安全漏洞，并展示了其如何被黑客利用，最终导致现实世界中的大规模欺诈事件。文章最突出的亮点在于揭示了设计缺陷如何被黑产利用，并与NBA球星牵连，为网络安全提供了生动的现实案例。

• 利用 Jinja2 服务器端模板注入（SSTI）：技术与绕过方法

本文深入剖析了服务器端模板注入（SSTI）的原理与利用方式，特别聚焦于Python中Jinja2模板引擎的攻击方法。文章通过MRO（方法解析顺序）和多种绕过技术，展示了如何实现远程命令执行（RCE）并绕过常见的Web应用防火墙（WAF）过滤规则，具有极高的技术参考价值。

• DocFuzz：基于反馈机制变异器的定向模糊测试方法

本文提出了DocFuzz，一种基于反馈机制变异器的定向模糊测试方法，通过污点追踪与强化学习相结合，显著提升了漏洞发现的效率与精准度，是模糊测试领域的重大技术进步。

• 奇安信攻防社区-CVE-2025-3248 Langflow RCE漏洞分析复现

本文深入分析了Langflow平台中的高危远程代码执行漏洞CVE-2025-3248，揭示了其漏洞成因、利用方式及修复方法，具有极强的现实指导意义和技术参考价值，值得立即发布。

• HashJack：利用URL片段操控AI浏览器的新型攻击

研究人员发现了一种名为HashJack的新攻击技术，利用URL片段（）对AI浏览器助手进行提示注入，从而操控其行为。攻击者可以将恶意指令隐藏在合法URL中，诱导AI助手执行隐藏命令，实现包括钓鱼、数据泄露、虚假信息传播及医疗危害在内的多种攻击场景。由于URL片段在客户端处理且不被服务器接收，传统安全系统难以检测。微软和Perplexity已发布补丁，但谷歌认为该问题属于预期行为，未采取修复措施。HashJack暴露了AI浏览器在上下文处理方面的设计缺陷，凸显了对客户端安全防护的迫切需求。

* 查看或搜索历史推送内容请访问：

* 新浪微博账号：腾讯玄武实验室

* 微信公众号：腾讯玄武实验室