本文详细分析了CVE-2026-20217漏洞，该漏洞存在于ClamAV的PESpin解析器中，通过非法free操作可导致堆损坏。攻击者利用ZendTo的公开上传功能，结合ClamAV解析器缺陷，构建了从文件投递到远程代码执行的完整利用链。利用过程涉及未认证文件写入、堆布局操作以及通过ClamAV作为oracle绕过ASLR。建议立即更新ClamAV和ZendTo至最新版本，并限制外部上传功能。

本文介绍了一个自建的大模型API网关项目，用于统计API调用和二次授权。通过配置文件设置上游API和模型映射，并配置对外密钥。项目开源在GitHub，可供参考和使用。

该文档分享利用Nacos服务默认密钥登录绕过和接口信息泄露漏洞进行渗透测试的案例。作者通过构造JWT绕过登录或利用未授权接口获取配置信息，进而扩大战果获取数据库权限。建议升级Nacos版本消除漏洞隐患。

Rustwebpcrate存在关键安全漏洞RUSTSEC-2026-0260，允许攻击者通过特制WebP图像实现远程代码执行。该漏洞影响所有版本，利用可能导致内存损坏和任意代码执行。建议开发者立即审查依赖并升级到修补版本，特别是图像处理服务等自动处理用户输入的系统。