2401_88116609的博客

原创 2026年开年重大安全漏洞深度解析

当用户调用session.update()方法时，代码允许客户端直接修改JWT token中的关键身份字段，包括email字段，且没有验证客户端提供的email是否与当前已认证用户的email匹配，直接将客户端提供的email写入JWT。2026年1月6日，谷歌官方披露Chrome浏览器高风险漏洞CVE-2026-0628，该漏洞源于WebView标签组件的策略执行缺陷，允许攻击者通过恶意扩展绕过浏览器核心安全限制，向特权页面注入恶意脚本或HTML代码。