博客 · 第 17 页
关于工程、设计与一些随手记录。
Cisco FMC 未授权 Java 反序列化 RCE：CVE-2026-20131 分析
CVSS 10.0、无需认证、以 root 权限执行代码，而且已经被勒索组织当作零日用了 36 天。防火墙管理中枢本身被攻破，等于把所有策略与日志一起交出去。
用 Astro islands 把首屏 JS 压到零
从「异步引入」到「按需水合」，讲清楚三层懒加载分别解决什么问题，并给出这个站点里真实在跑的代码。
Next.js 增量缓存路径遍历 RCE：CVE-2026-75604 分析
一个没被转义的反斜杠，在 Windows 上把增量缓存变成任意文件读写；再用泄露的 Server Action 加密密钥伪造请求，借 React Flight 的属性链走到 Function。
React Router 原型污染链式 RCE：CVE-2026-42211 分析
turbo-stream v2 在 TYPE_ERROR 分支里动态调用构造函数却不校验来源。只要应用里已存在一个原型污染，这条路径就能被接上 Function，把两步中危拼成 RCE。
head 只有一个来源：SiteHead、JSON-LD 转义与 hreflang
三个 HTML 外壳共用一个组件输出全部 head 标签，数据在 server 层组装。以及一个必须记住的细节：JSON-LD 里的尖括号要转义成反斜杠 u003c。
静态站上线不是「把文件夹传上去」：缓存、压缩、以及诚实的 404
纯静态托管的坑几乎全在响应头上。哪些文件能永久缓存、哪些一秒都不能缓存、以及为什么静态站绝对不能做 SPA 式回退。