Vettalon / 研究紀錄
每筆公開案例分別列出來源、實際測試與尚未驗證的範圍。
兩筆歷史聚焦識別測試與一筆 Vettalon 原創發現分開列示。Ammonia 保留產品候選及擬稿、人工送件、上游修補與限定回歸的證據邊界；未公開候選不在此列。
上游公告指出，特定 CSS 清理設定未對大寫 URL() 套用預期的網址政策，可能讓追蹤圖片通過；公告明確說明不構成 XSS。
Vettalon 供應鏈獵捕在 2026-10-14 UTC 找出 ammonia 4.1.7 的 needs_human 候選並產生揭露草稿；人工重現及送件後，上游修復。Ammonia 維護者在修補 PR 公開確認收到 zhixuli0406 的 email，RustSec 列 Louis Li 為通報者。指定政策測試在 4.2.3 為 3／5、官方 4.2.4 為 5／5。
啟用 follow_symlinks 時，靜態資源缺少目錄範圍檢查，可能讀到靜態根目錄外的檔案。
歷史聚焦掃描識別命中 web_urldispatcher.py:666，最終為 needs_human。未執行 HTTP 利用或修補版本對照。
部署在可由網路存取的位置時，舊版 eval-stdin.php 可能將 HTTP 請求內容當作 PHP 執行。
歷史聚焦掃描識別命中 eval-stdin.php:3，最終為 candidate。未在 web SAPI 執行，未驗證修補後的行為。
