OpenCode останнім часом викрив серйозну проблему безпеки. Інженери з безпеки Cloudflare виявили, що один із параметрів, підтримуваних веб-фронтендом, має ризик зловживання.



Конкретно, зловмисники можуть використовувати цей параметр для вказівки на зловмисний сервер. Потім шляхом підробки сесії Markdown вони можуть вставляти шкідливий скрипт, щоб спонукати користувачів натискати відповідні посилання. Як тільки користувач потрапляє на пастку, зловмисник може через API терміналу виконувати будь-які команди на комп’ютері користувача. Такий спосіб атаки досить прихований і становить значний ризик для розробників.

Гарна новина — офіційна команда швидко випустила рішення для виправлення. Основні заходи включають: заборону цього проблемного параметра та посилення політики безпеки контенту (CSP), щоб запобігти завантаженню зловмисних скриптів. Якщо ви використовуєте відповідні інструменти, рекомендується оновити їх до останньої версії. Такі оновлення безпеки не можна ігнорувати.
Переглянути оригінал
Ця сторінка може містити контент третіх осіб, який надається виключно в інформаційних цілях (не в якості запевнень/гарантій) і не повинен розглядатися як схвалення його поглядів компанією Gate, а також як фінансова або професійна консультація. Див. Застереження для отримання детальної інформації.
  • Нагородити
  • 6
  • Репост
  • Поділіться
Прокоментувати
0/400
SoliditySurvivorvip
· 01-13 20:11
卧槽,又是 параметр漏洞?Розробники дійсно не можуть так жити, щодня потрібно бути напоготові Безпосередньо виконувати будь-які команди — хто з цим впорається, на щастя, офіційна реакція була швидкою, швидко оновлюємося
Переглянути оригіналвідповісти на0
OnChainSleuthvip
· 01-13 01:08
Знову параметрна уразливість... цього разу можна безпосередньо виконувати команди на машині, досить жорстко Швидко оновлюйтеся, не чекайте, поки вас підставлять фішингові скрипти Офіційна реакція досить швидка, принаймні не затягнули
Переглянути оригіналвідповісти на0
NFTRegretDiaryvip
· 01-13 01:08
Знову ця вразливість у параметрах... розробники знову будуть працювати понаднормово, швидше оновлюйте, щоб не потрапити під злом.
Переглянути оригіналвідповісти на0
ChainProspectorvip
· 01-13 01:06
Знову вразливість у параметрах... розробники все ще повинні бути обережними, такі приховані атаки дійсно важко запобігти --- Я дійсно не очікував такої схеми з вбудованим шкідливим скриптом у Markdown, це дуже жорстко, швидше оновлюйтеся, колеги --- Офіційна реакція досить швидка, принаймні не затягували, посилення CSP — стандартна практика --- Безпосередньо виклик API терміналу для виконання команд? Якщо його зламати, приватні ключі на комп’ютері зникнуть... --- З огляду на складність цієї вразливості, здається, що не лише OpenCode потрібно захищати, інші платформи також мають провести самостійну перевірку --- Мені просто цікаво, як цю штуку виявили, команда безпеки Cloudflare справді на висоті
Переглянути оригіналвідповісти на0
VitaliksTwinvip
· 01-13 01:02
Добре, знову вразливість у параметрах... Розробникам дійсно важко, важко захиститися від усього Це вже зовсім безглуздо, у Markdown можна вставити зловмисний скрипт? Безпосередньо виконати код віддалено? Хто ж це придумав Реакція Cloudflare досить швидка, заборона параметрів + посилення CSP, той самий підхід, швидше оновлюйтеся, всі
Переглянути оригіналвідповісти на0
CountdownToBrokevip
· 01-13 00:56
Боже, знову вразливість у параметрах, у ці часи без усвідомлення безпеки просто неможливо вижити --- У Markdown ще можна приховати зловмисний скрипт? Це надто приховано, я навіть не очікував --- Швидко оновлюйте, інакше колись ваш комп’ютер може бути віддалено виконаний, страшно навіть уявити --- Cloudflare цього разу реагує досить швидко, принаймні офіційні особи не тягнули час --- Знову потрібно вручну оновлювати, такі патчі дійсно не можна чекати
Переглянути оригіналвідповісти на0
  • Закріпити