7-Zip XZ 分块解码堆缓冲区溢出漏洞（CVE-2026-14266）
分析 7-Zip 26.01 在 XZ 多 filter 分块解码中未扣减 outWritten 导致的堆越界写，并基于 26.02 diff、IDA 反编译和 PoC 对照验证修复效果。
Jenkins 嵌套 PersistenceRoot 反序列化远程代码执行漏洞（CVE-2026-84645）
分析 Jenkins core XStream 反序列化器未阻止 PersistenceRoot 对象作为嵌套字段注入的根因，实测提交作业 config.xml 构造 FingerprintAction→FreeStyleBuild→FreeStyleProject→Hudson 注入链，经 Stapler 路由到达未受保护的 Script Console 以 root 执行任意 Groovy，并验证 2.580 守卫修复与 Nginx 拦截缓解。
阅读全文↗