这两天打开任何一个「GitHub 每周精选」，你会看到同一批名字被反复搬运：39 万星的龙虾、一周三千星的 Mac 修图器、把上下文压缩换成决策日志的 Jev 全家桶。大热门被拆了又拆，剩下的「无主件」真的没肉了吗？本期专门去捡漏——只收目前还没被任何栏目深拆过的仓库，结果比预想的好：两条能直接当防御教材的漏洞利用链、一座苹果官方亲手挖的矿、两台路数完全相反的游戏引擎、一把踩在「小模型做判断」风口上的数据铲子，外加一张黑客论坛的藏宝图。七件全部在 700 星以下，但每一件都卡在一个「有人真会付钱」的位置上。
一句话定位：把 CVE-2026-63030 与 CVE-2026-60137 两个漏洞串成一条完整 RCE 链的概念验证——WordPress 从「有漏洞」走到「服务器沦陷」，中间每一步都给你摆出来了。
它解决的是漏洞公告的老毛病：单看任何一份 CVE 描述，管理员都容易得出「影响有限，下周再升」的结论。而真实攻击从来不按单漏洞打——两个「中危」手拉手，就是一台服务器。仓库名 wp2shell 已经把剧情讲完了：从 WordPress 的入口一路走到 shell。两个编号在这条链里通常各司其职，一环负责拿立足点、一环负责放大战果※（链式 PoC 的常见分工，具体哪环干什么，以仓库与厂商通告为准），这类结构也让它天然成了 WAF 规则和检测脚本的出题人。
热度本身是个信号：9 月 19 日的快照里它还没挤进新星榜前二十，9 月 20 日已经带着 563 星坐在榜上※——按两次快照推算，这是一两天内冲出来的速度，安全社区显然在抢着复现和写检测。
flowchart TD
A["公网暴露的WordPress站"] --> B["第一环<br/>拿到立足点"]
B --> C["第二环<br/>提权或写入"]
C --> D["getshell<br/>服务器沦陷"]
D --> E["防守三件套<br/>升级+WAF+最小权限"]
（上图为链式攻击的通用示意，非该 PoC 的实现细节。）
一句话定位：苹果官方出品的 Swift 库，用来读取、写入和操作 Xcode 的 JSON 版工程文件格式——苹果第一次把这个格式「开」成了正经 API。
iOS 圈有一场没人治好的慢性病：工程文件冲突。Xcode 的工程文件长期是半黑盒格式，社区工具全是靠逆向对表活下来的——Ruby 世界的 xcodeproj、代码化工程的 XcodeGen 和 Tuist，本质都在维护自己的私有解析器※（公开常识），苹果一升级就可能全线返工。现在苹果把 apple 组织下挂出了官方库，等于承认了一件事：工程文件的自动化不是歪门邪道，是正路。
对三类人这是直接利好：第三方工具作者，从「逆向猜格式」变成「对着官方库开发」；CI/CD 工程师，脚本化生成和修改工程文件有了稳定落点；多分支大团队，冲突治理终于能写出可靠的自动化。361 星对苹果官方库来说不算惊艳，但一个格式库能挤进新星榜，说明需求端已经等了很久。
一句话定位：cPanel & WHM 认证绕过漏洞 CVE-2026-41940 的概念验证工具——不用密码，就能以合法身份走进全球最主流的主机控制面板。
如果说上一条的 WordPress 链是「破门而入」，这条就是「复制了门禁卡」：认证绕过不留下砸门的痕迹，攻击者以正常用户的样子登录面板，改 DNS、导邮箱、翻数据库、把整站打包带走。cPanel & WHM 是虚拟主机行业的面板标配，后面压着海量中小企业网站——这就是为什么一份简介只有一句话的 PoC，能在 9 月 18 日和 19 日两次快照里稳稳停在 526 星：主机商们都在围观对照自家版本。
防守动作其实就四条：立刻升级到修复版本、面板不要直接暴露公网、管理入口加 IP 白名单、强制两步验证。四条都不贵，贵的是事后的道歉。
一句话定位：用 Haskell 写的 roguelike 地牢游戏引擎库——你负责设计地牢、怪物和宝贝，回合制、视野、物品这些脏活归它。
roguelike 是最吃「规则引擎」的品类：地牢生成、逐回合推进、视线遮挡、死亡即删档的惩罚结构，全是可以抽象复用的部分。LambdaHack 把这些收进引擎，开发者只写内容。而选 Haskell 并不是行为艺术——纯函数式的游戏逻辑意味着同一输入必然同一输出，回放、调试、存档一致性都跟着沾光※（从语言特性到游戏结构的常规推断）。引擎库的形态也值得注意：它不是完整游戏，是「带样板的框架」，官方鼓励你先跑示例再提意见，简介里那句 please offer feedback 就是这么来的。
两次快照 664 星纹丝不动，典型的长线口碑池：涨得慢，但每一个 star 都是真人玩过之后点的。
一句话定位：Kotlin 写的跨平台 WebGPU 2D 游戏框架，口号很诚实——「在它之上，造你自己的游戏引擎」。
它踩中的是两个方向的交汇点。一个是 Kotlin Multiplatform：一套逻辑跑 JVM、Android、iOS、原生和浏览器，对大量从 Android 出身、想摸游戏开发的程序员来说，这是迁移成本最低的路径。另一个是 WebGPU：浏览器的新一代图形接口，把 WebGL 时代的天花板掀掉了一角，而 littlekt 是把 2D 场景架在它上面的少数派。2D 定位也很务实——小游戏、可玩广告、独立 2D 游戏，根本用不着 3D 重炮，要的是启动快、包体小、多端一致。
要提醒的是它还在早期：399 星的框架，API 一定会动※，生产环境上之前先锁版本。但反过来讲，这个阶段进去提的 issue 是真会被理睬的。
一句话定位：Bespoke Labs 出品的本地工具箱，把「typed decisions、对比式数据策展、模型评测」三件事装进一个包——给用小模型做判断的团队补上游。
最近榜单上「语义判断下放小模型」的仓库扎堆※，但大家都在卷推理端：怎么判得快、判得便宜。nimble 盯住的是上游缺口——判断的质量取决于数据的质量，而大多数团队既没有一套可审计的数据策展流程，也没有顺手的评测闭环。从简介看，它把三段接成了流水线：typed decisions 管输出（判定结果带类型，能直接进下游代码）、contrastive curation 管数据、evaluation 管验收（各模块细节以仓库文档为准）。全部本地运行是点睛之笔——数据不出门，这才是企业客户敢签字的姿势。
667 星是小而美榜的新面孔，背后是 bespokelabsai 这个公司化组织——合成数据与数据策展赛道有融资、有付费先例※（据公开资料），不是纯爱项目。
一句话定位：一份黑客论坛目录，给威胁情报（CTI）从业者当地图用——知道去哪看，是这门手艺的第一课。
威胁情报这行有个尴尬的起点问题：泄露数据的转卖、初始访问经纪人的广告、勒索团伙的谈判截图，都发生在少数几个论坛里，但没有任何一本教科书会告诉你门牌号。这份目录干的就是把门牌号集中起来。要强调的是用法边界——它是给防守方做监测与情报的地图，监控自家数据有没有出现在哪些市场、追踪哪些经纪人在卖哪类入口，而不是给谁提供参与指南。370 星对一份纯目录型仓库来说是体面的数字：这类仓库的价值密度全在维护者的品味里，star 涨得慢，但引用率高。
| 仓库 | 类型 | Star（快照） | 上手 | 一句话场景 |
|---|---|---|---|---|
| wp2shell-PoC | 安全·PoC | 563（09-20） | ⭐⭐⭐⭐ | WordPress 链式沦陷复盘与检测 |
| xcode-project-format | 官方工具链 | 361（09-19） | ⭐⭐⭐ | iOS 工程文件自动化 |
| cve-2026-41940-PoC | 安全·PoC | 526（09-19） | ⭐⭐⭐⭐ | 面板认证绕过防御清单 |
| LambdaHack | 游戏引擎 | 664（09-20） | ⭐⭐⭐⭐ | Haskell 造 roguelike |
| littlekt | 游戏框架 | 399（09-20） | ⭐⭐⭐ | Kotlin 跨平台 2D 小游戏 |
| nimble | AI 数据工具 | 667（09-20） | ⭐⭐⭐ | 本地数据策展与评测 |
| Hackers-Forums | 安全·情报目录 | 370（09-19） | ⭐⭐ | CTI 新人的论坛地图 |
mindmap
root((无主新矿七件))
安全三件
WordPress链式PoC
cPanel认证绕过PoC
黑客论坛目录
苹果官方一件
Xcode工程格式库
游戏两件
Haskell roguelike引擎
Kotlin跨平台2D框架
AI数据一件
本地策展与评测
大热门的热闹是别人的，这七件冷货的好处是：现在进场，你还是发现者。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。