dacj4n's

Fastjson2 在默认配置下处理 JSON 中的 @type 字段时，使用 FNV-1a 增量哈希做白名单校验。由于该校验仅比对哈希值而未验证类名文本内容，攻击者可通过 chosen-prefix 碰撞构造恶意字符串绕过白名单，最终实现远程代码执行。

共同特征：

K8s 中部署一个应用，通常需要两个 YAML 文件：

MySQL 初次安装后默认只允许 localhost 登录，需要手动配置才能从其他主机远程连接。

默认是当前 context 的 namespace（通常是 default）

Linux系统

iperf3 是一个TCP、UDP和SCTP网络带宽测量工具。是用于主动测量 IP 网络上可达到的最大带宽的工具。它支持调整与时序，协议和缓冲区有关的各种参数。对于每个测试，它都会报告测得的吞吐量/比特率，损耗和其他参数。

注意事项：在验证漏洞是否存在过程中，应尽量避免使用 execSync函数执行，这样可能造成系统阻塞的命令(如ping，curl，wget等)，因为Node.js是单线程事件循环模型，execSync会阻塞整个事件循环导致所有请求都被阻塞。推荐使用异步 exec（下面的poc仍然使用的是execSync函数）