OpenCode 最近爆出了一个比较严重的安全问题。Cloudflare のセキュリティ研究者は、Webフロントエンドがサポートする特定のパラメータに悪用のリスクがあることを発見しました。

具体的には、攻撃者はこのパラメータを悪意のあるサーバーに向けて利用できます。その後、Markdown セッションを偽造し、悪意のあるスクリプトを埋め込み、ユーザーに関連リンクをクリックさせる誘導を行います。ユーザーが騙されると、攻撃者は端末APIを通じてユーザーのコンピュータ上で任意のコマンドを実行できるようになります。この攻撃手法はかなり巧妙で、開発者にとってリスクは大きいです。

良いニュースは、公式が迅速に修正策をリリースしたことです。主な対策は、この問題のあるパラメータを無効化し、コンテンツセキュリティポリシー（CSP）を強化して悪意のあるスクリプトの読み込みを防止することです。関連ツールを使用している場合は、最新バージョンに速やかにアップデートすることをお勧めします。この種のセキュリティパッチは遅らせてはいけません。