由 Evan Tang 于 8 月 26 日发布 https://blog.evan.lat/posts/CVE-2026-65053/该博客讨论了两个可链式利用的漏洞。为简洁起见，我将针对存储型 XSS 漏洞进行说明。在 lib/Mime/Status.php 中，我们发现了一个相当可行的 XSS 汇点：$out .= '' . $val . '';通过交叉引用，我们发现大多数实现均进行了清理，但 lib/Mime/Viewer/Appledouble.php 除外：$data_name = ...