从一行 CSS 注释开始：把 PostCSS CVE-2026-45623 这条攻击链走一遍

2026-08-10 1 阅读约1分钟阅读先知社区

字号:

一行看似无害的 CSS 注释，就能让 PostCSS 读取服务器上的任意文件，并通过异常消息回显文件内容前缀。无需插件、无需显式开启 source map、通常也无需设置 `from`，攻击者唯一需要做的就是把这段文本嵌入 CSS 输入中。

分享文章：

这篇文章对您有帮助吗？

每日精选科技资讯，直达你的邮箱