RCE

CVE-2026-14669 是 PostgreSQL to_char 处理时区缩写时的堆溢出。结果缓冲区按格式化串长度分配，每个格式字符 12 字节，而 TZ 项把会话时区缩写直接 strcpy 进去且不校验长度。会话时区是普通用户可改的参数，因此任意可登录账号都能让后端越界写，公开利用已在小版本上打通到命令执行。

CVE-2026-111497 是 Node.js 内置 Brotli 解码器中的堆越界写。解码器将无效的块切换状态误判为输入不足，继续向 8 字节暂存区追加数据，溢出后覆盖相邻字段。本文从端口扫描与业务探测入手，确认目标会将攻击者可控的 Brotli 流送入解码器，随后定位崩溃点并完成远程命令执行。

CVE-2026-109618 与 CVE-2026-109619 都发生在 PHP 请求启动阶段，利用 session.upload_progress 的默认开启，用 memory_limit 触发的 OOM bailout 跳过清理，把悬空指针留给同一个 worker 的下一个请求，最后用伪造的 zend_array 把 pDestructor 指向 zif_system 执行命令。

CVE-2024-2961 是 glibc iconv() 转换 ISO-2022-CN-EXT 时最多越界写 4 字节的堆溢出，CVSS 7.3。PHP 应用只要存在任意文件读取，攻击者就能用 php://filter 串接 convert.iconv 把越界写投放到 ZendMM 的空闲链表上，控制下一次分配的位置，再覆盖 zend_mm_heap 的函数钩子执行命令。本文在 Vulhub 的 php/CVE-2024-2961 靶场（PHP 8.3.4 + glibc 2.36）完成从指纹识别、过滤器逐项验证到 webshell 落地的完整复现。

React Server Components 传输协议（Flight）反序列化引入的未授权远程代码执行漏洞，CVSS 10.0，影响 React 19.0.0、19.1.0、19.1.1、19.2.0 与使用 App Router 的 Next.js 15.x、16.x。本文在 Vulhub 环境中完成从指纹识别、原型链污染验证到命令回显的完整复现，并拆解 Flight 协议对象恢复机制中的利用链条。

Debian/Ubuntu 打包 Redis 时改为动态链接系统 Lua 库，未正确清除 Lua 的 package 变量，攻击者可通过 eval 命令执行 Lua 脚本，用 package.loadlib 加载系统 liblua 并导出被禁用的 os 模块，实现沙箱逃逸与远程代码执行。CVSS 10.0，影响 Debian buster/bullseye 与 Ubuntu 20.04/21.10 的 apt 安装版 Redis。本文基于 Vulhub 靶场复现并获取 root 权限反弹 Shell。

Ubuntu 内核自带的补丁允许普通用户挂载 OverlayFS，但同步扩展属性时未校验 security.capability 的写入来源，普通用户可在用户命名空间内给文件写入全部特权的能力位并持久化到磁盘，执行后获得 root 权限。CVSS 7.8，影响 Ubuntu 20.10、20.04 LTS、18.04 LTS 等版本的内核。本文基于 Vulhub 靶场复现并拆解利用链。

Confluence 的多个 .action 页面将用户输入的 queryString 参数直接嵌入 WebWork 标签属性渲染，OGNL 引擎对回显内容进行二次解析，攻击者通过单引号拼接绕过纯文本处理，注入 OGNL 表达式调用 Java ScriptEngine 执行任意命令，匿名用户即可触发。CVSS 9.8，影响 6.13.23 之前的全部版本及 7.4.11、7.11.6、7.12.5 之前的各分支。本文基于 Vulhub 靶场复现并逐层拆解 Payload。

GitLab 处理用户上传图片时调用 ExifTool 解析元数据，ExifTool 的 DjVu 解析模块存在 Perl 代码注入，攻击者上传伪装成 JPEG 的恶意 DjVu 文件即可在服务器上执行任意命令；上传接口无需登录，仅需登录页公开的 CSRF 令牌。CVSS 10.0，影响 GitLab 11.9 起至 13.8.8、13.9.6、13.10.3 之前的版本。本文基于 Vulhub 靶场复现并拆解注入原理。

Spring Framework 的参数绑定机制允许通过 class.module.classLoader 路径访问 JDK 9+ 新增的 Module 对象，绕过原有黑名单，篡改 Tomcat 的 AccessLogValve 日志配置，将访问日志写入 Web 目录并命名为 .jsp 文件，生成持久化 Webshell。CVSS 9.8，影响 Spring Framework < 5.3.18 / < 5.2.20 且运行于 JDK 9+ 与 Tomcat 的场景。本文基于 Vulhub 靶场复现并拆解利用链。

Spring Cloud Gateway 的 Actuator 端点未授权暴露时，攻击者可通过 POST 请求动态添加路由，在过滤器参数中嵌入恶意 SpEL 表达式，网关刷新配置时解析执行该表达式，实现未授权远程代码执行。CVSS 10.0，影响 Spring Cloud Gateway 3.1.x < 3.1.1、3.0.x < 3.0.7。本文基于 Vulhub 靶场复现并拆解利用链。

Log4j2 对日志消息中的 ${} 语法解析过于宽松，支持 JNDI 协议表达式且不限制远程类加载，攻击者通过任何会被记录的输入（URL 参数、请求头等）传入 ${jndi:ldap://...}，即可诱导服务器从远程加载恶意 Java 类执行。CVSS 10.0，影响 Log4j2 2.0-beta9 至 2.14.1，即社区所称 Log4Shell。本文基于 Vulhub 靶场复现并拆解利用链。

CVE-2020-14882 利用二次 URL 编码的路径遍历绕过管理控制台权限检查，实现未授权访问；CVE-2020-14883 在控制台的处理句柄参数中注入 OGNL 表达式触发代码执行。两者组合即可从未授权直达任意命令执行。CVSS 9.8 / 7.2，影响 WebLogic 10.3.6 至 14.1.1 全部版本线。本文基于 Vulhub 靶场复现三种利用方式。

Struts2 标签库的 id 属性会对属性值进行二次 OGNL 解析，当属性值引用了攻击者可控的输入时，攻击者可构造恶意 OGNL 表达式绕过沙箱执行任意代码。CVSS 9.8，影响 Struts2 2.0.0-2.5.20。本文基于 Vulhub 靶场复现并拆解沙箱绕过与命令执行的利用链。