hongzh0's Blog — 安全研究

最近写下

漏洞分析2026.07.04

从组织创建 API 的名称校验缺陷出发，分析路径遍历如何将仓库写入 local-r 工作树，并通过覆盖 Git hooks/update 构造远程代码执行链。

漏洞分析2026.02.27

按时间线复盘 XStream 五个典型漏洞，覆盖动态代理 Gadget、SSRF、任意文件删除、TemplatesImpl RCE 与 BinaryStreamDriver 栈溢出 DoS。

漏洞分析2026.01.14

从 NCCloudGatewayServlet 的鉴权与反射调用链出发，复盘补丁变化，并进一步挖掘 U8Cloud 全版本 SQL 注入利用链。