2026-01-13 00:38:59

OpenCode 最近爆出了一个比较严重的安全问题。Cloudflare 的安全研究员发现，Web 前端支持的某个参数存在被滥用的风险。

具体来说，攻击者可以利用这个参数指向恶意服务器。然后通过伪造 Markdown 会话，在其中嵌入恶意脚本，诱导用户点击相关链接。一旦用户上当，攻击者就能通过终端 API 在用户计算机上执行任意命令。这种攻击方式还是挺隐蔽的，对开发者来说风险不小。

好消息是官方已经迅速推出了修复方案。主要措施包括：禁用了这个有问题的参数，还强化了内容安全策略（CSP），防止恶意脚本的加载。如果你在用相关工具，建议及时更新到最新版本。这类安全补丁还是不能拖的。

Cette page peut inclure du contenu de tiers fourni à des fins d'information uniquement. Gate ne garantit ni l'exactitude ni la validité de ces contenus, n’endosse pas les opinions exprimées, et ne fournit aucun conseil financier ou professionnel à travers ces informations. Voir la section Avertissement pour plus de détails.

12 J'aime

Récompense
12
7
Reposter
Partager

Commentaire

0/400

RugResistant

· Il y a 19h

ngl cette chaîne d'exploitation opencode est en fait assez méchante... une exécution de commande arbitraire via un paramètre markdown ? ça donne des vibes classiques d'attaque par la chaîne d'approvisionnement. le fait qu'ils abusent des faiblesses CSP rend la chose encore pire honnêtement. en tout cas, chapeau à Cloudflare pour l'avoir détectée tôt, mais sérieusement, les gens doivent patcher ça immédiatement

Voir l'originalRépondre0

SoliditySurvivor

· 01-13 20:11

Putain, encore une vulnérabilité de paramètre ? Les développeurs ont vraiment du mal en ce moment, ils doivent être constamment sur le qui-vive. Exécuter n'importe quelle commande, qui pourrait supporter ça ? Heureusement, l'équipe officielle a réagi rapidement, mettons à jour tout de suite.

Voir l'originalRépondre0

OnChainSleuth

· 01-13 01:08

Mince, encore une vulnérabilité dans les paramètres... cette fois, il est même possible d'exécuter directement des commandes sur la machine, c'est assez sérieux. Mettez à jour rapidement, ne restez pas piégés par des scripts de phishing. La réaction officielle a été assez rapide, au moins ils n'ont pas tardé.

Voir l'originalRépondre0

NFTRegretDiary

· 01-13 01:08

Encore ce genre de vulnérabilité de paramètres... les développeurs doivent encore faire des heures supplémentaires pour patcher, mettez à jour rapidement pour ne pas vous faire pirater

Voir l'originalRépondre0

ChainProspector

· 01-13 01:06

Encore une vulnérabilité de paramètre... les développeurs doivent rester vigilants, ce type d'attaque furtive est vraiment difficile à prévenir --- Je ne m'attendais pas à cette méthode d'injection de scripts malveillants dans Markdown, c'est vraiment brutal, mettez à jour rapidement tout le monde --- La réaction officielle est plutôt rapide, au moins ils ne traînent pas, le renforcement du CSP est une opération standard --- API terminale qui exécute directement des commandes ? Si c'est piraté, les clés privées dans l'ordinateur seront perdues... --- Vu la complexité de cette vulnérabilité, il ne faut pas seulement que OpenCode se protège, d'autres plateformes devraient aussi faire une auto-analyse --- Je veux juste savoir comment cette faille a été découverte, l'équipe de sécurité de Cloudflare est vraiment au top

Voir l'originalRépondre0

VitaliksTwin

· 01-13 01:02

Mince alors, encore une faille de paramètre... Les développeurs ont vraiment du mal, impossible de tout prévoir C'est vraiment absurde, on peut même cacher des scripts malveillants dans Markdown ? Exécuter du code à distance ? Qui aurait pensé à ça Cloudflare a réagi assez rapidement, en bloquant les paramètres + en renforçant le CSP, la méthode est toujours la même, mettez à jour rapidement tout le monde

Voir l'originalRépondre0

CountdownToBroke

· 01-13 00:56

Mon Dieu, encore une vulnérabilité dans les paramètres, sans conscience de la sécurité on ne peut vraiment pas survivre de nos jours --- On peut encore cacher des scripts malveillants dans Markdown ? C’est trop discret, je ne l’avais pas prévu --- Mettez à jour rapidement, sinon votre ordinateur pourrait être pris en main à distance un jour, c’est effrayant d’y penser --- Cloudflare a réagi assez vite cette fois, au moins l’équipe officielle n’a pas traîné --- Encore une mise à jour manuelle, ce genre de correctifs ne peut vraiment pas attendre

Voir l'originalRépondre0