React Server Components 反序列化远程代码执行漏洞

React Server Components（RSC）是 React 19 的服务端渲染与组件流式传输机制，于 2024 年 12 月 5 日发布正式版本，用于在服务端解析组件与模型数据并输出渲染结果，广泛用于 Next.js、Vercel 与各类 Node.js 渲染服务。 受影响版本中，RSC 在处理 ReplyFlightStream 的反序列化数据时缺乏必要校验，攻击者可构造任意模型字段、循环结构、Server Reference 与 multipart/form\-data，诱使解析流程进入异常路径并触发模块加载与引用执行链，最终导致未授权代码执行。 修复版本中通过重构 ReactFlightReplyServer 的模型与引用解析逻辑，引入循环检测、受控错误传播与严格状态机，并以 ReactPromise 替代原监听机制。同时加强 multipart/form\-data 的异常处理，所有 bundler 的 server\-dom 模块统一加入错误截断逻辑，有效防止反序列化漏洞。

Windows Vim 路径劫持漏洞(CVE-2025-66476)

Windows Vim上存在不受控制的搜索路径漏洞，攻击者可通过在项目中放置伪装的可执行文件（如findstr.bat），当用户在 Vim 执行:grep等命令时触发恶意代码，实现远程命令执行。

Windows 管理员保护不受信任搜索路径漏洞(CVE-2025-60718)

Windows管理员保护是一个安全功能，用于保护管理员账户不受恶意软件和其他安全威胁的影响。该漏洞由于在管理员保护中存在不受信任的搜索路径，使得授权的攻击者可以利用这一点在本地提升权限。

S2-068

File leak in multipart request processing causes disk exhaustion.

QQ Windows客户端跨站脚本漏洞(QVD-2025-45847)

该漏洞源于对聊天消息相关的前端代码处理不严格，当用户浏览到恶意消息时触发并执行 JavaScript 代码，导致相关凭证信息泄露、以及劫持用户行为等危害。需要注意的是该漏洞仅影响 9.9.25.42744 版本，该版本在11月26日发布并且属于非正式版本，利用可能性较低。