CVE-2026-32722

CVE-2026-32722 Bloomberg Memray 通过未转义的命令行元数据实现存储型 XSS 简介 我在审查 Memray （Bloomberg 的 Python 内存分析器）时发现了这个问题，脑海中带着一个简单的问题： 攻击者控制的运行时元数据能否不安全地进入浏览器渲染的报告输出？ 在这个案例中，答案是肯定的。 该缺陷存在于 Memray 的 HTML 报告生成路径中，命令行元数据在未经转义的情况下被渲染到浏览器打开的报告里。这将一个操作字段变成了可执行的 HTML 汇点，最终成为 CVE-2026-32722 。 项目： GitHub 上的 Memray 公告：...