Cloud Commander 8 月 29 日发布 19.20.2 修复 CVE-2026-82460（CVSS 3.1 9.8/CVSS 4.0 9.3，CWE-22 路径穿越）。REST 文件操作与 Markdown 渲染端点对路径标准化校验缺失，未认证攻击者可借助 ../ 序列在沙箱根目录之外任意读取、写入、移动或复制文件，进而通过覆盖 SSH authorized_keys 或应用配置文件达成远程命令执行。
Vercel 8 月 25 日紧急发布 Next.js 15.5.24 与 16.3.3，修复两处未认证远程代码执行漏洞。CVE-2026-75604（CVSS 9.0）影响同时使用 Pages 与 App Router 且运行于 Windows 文件系统的应用；AVIF 图像优化走 libheif 的 GHSA-2xp9-vwfh-vxw4（CVSS 4.0 9.5）由于 sharp 引入的上游堆缓冲区溢出，可在图片解码环节 RCE。
路径遍历漏洞允许攻击者读取服务器任意文件，是 OWASP Top 10 高危漏洞。本文从 Nginx 层、PHP/Python/Java 应用层、WAF 层三个维度讲解完整防御方案，提供可直接用于生产环境的代码模板和配置示例。