本文分析CVE-2026-94545漏洞，该漏洞影响Next.js的next/og组件，根因是上游Satori库SVG序列化层输出编码不当，导致SVG标记注入，可能升级为远程代码执行。影响Next.js16.2.0至16.3.5版本，修复版本为16.3.6。建议升级至修复版本并核对Satori依赖版本，临时缓解措施为停止将不可信参数传入SVG内容或切换Edgeruntime。

文档为天融信发布的AI安全防范科普，提醒用户警惕AI生成的虚假新闻和诈骗链接。建议核实消息来源、使用官方渠道确认、注意AI图片破绽、不急于转发、不乱点链接，并强调冷静三秒原则，保护个人信息安全。

本文详细分析了CVE-2026-97359漏洞，这是HFS2.x文件服务器中的服务端模板注入漏洞，可导致未授权远程代码执行。攻击者通过multipart上传文件名注入恶意模板语法，利用模板引擎顺序替换的二次展开和未转义符号字段，最终通过无鉴权的exec宏执行系统命令。漏洞影响2.0.0至2.4.0全系列版本，无官方补丁，研究者提供了三级修复方案，并建议运维侧缓解措施。

本文介绍AgentHarness中Prompt组装引擎的核心设计与实战，通过分层、条件过滤、优先级排序及Token预算控制动态组装消息列表，解决硬编码Prompt导致的上下文爆炸、指令冲突等问题。提供Python最小实现代码，并给出生产级调优要点如缓存边界划分、LostintheMiddle优化及安全护栏注入，强调可观测性与配置化条件谓词。