JavaScript - 卫方智能网络安全资讯平台

953 家网店被注入指纹识别加载器，扫描器访问一律空手而归

2026年10月27日作者卫方智能

Sansec 披露持续 15 个月的网店感染活动，953 家店铺中招、多数跑 Magento；加载器藏在 cms_block 里，靠浏览器指纹过滤扫描器，只对真实购物者出货。

2026年10月23日作者卫方智能

Node.js 10 月 21 日修复 10 个漏洞，最严重的 CVE-2026-111497 是内置 Brotli 解码器越界写，官方称可致远程代码执行。修复版 22.23.4、24.22.1、26.12.1，20.x 及更早不再提供补丁。

2026年10月16日作者卫方智能

Vercel 于 10 月 14 日发布计划外的 Next.js 安全更新，修复两处无需认证即可触发的远程代码执行漏洞（各 CVSS 9.5）与一处高危拒绝服务缺陷。修复版本为 16.4.1 与 15.5.28，其中图像处理链路缺陷编号 CVE-2026-96889。

2026年10月13日作者卫方智能

10 月 11 日至 12 日，TypeScript 校验库 Zod 的仓库主分支被曝推入恶意 preinstall 脚本，安装时经以太坊智能合约取指令并执行二级载荷；恶意版本最终未进入 npm 正式分发包。

2026年9月26日作者卫方智能

原型链污染防御实战：从递归合并的触发原理出发，给出安全合并函数、–disable-proto 进程级防护、请求层键名拦截与 npm 依赖审计的完整配置与验收脚本。

2026年9月18日作者卫方智能

Node.js 沙箱库 vm2 的 3.11.3 至 3.11.6 版本同时暴露三个严重漏洞：node:sqlite 与 crypto.setEngine 可逃逸沙箱执行原生代码，https.globalAgent 可泄露宿主机凭据，最高 CVSS 10.0，已在 3.11.7 修复。