OpenCode 最近爆出了一个比较严重的安全问题。Cloudflare 的安全研究员发现,Web 前端支持的某个参数存在被滥用的风险。



具体来说,攻击者可以利用这个参数指向恶意服务器。然后通过伪造 Markdown 会话,在其中嵌入恶意脚本,诱导用户点击相关链接。一旦用户上当,攻击者就能通过终端 API 在用户计算机上执行任意命令。这种攻击方式还是挺隐蔽的,对开发者来说风险不小。

好消息是官方已经迅速推出了修复方案。主要措施包括:禁用了这个有问题的参数,还强化了内容安全策略(CSP),防止恶意脚本的加载。如果你在用相关工具,建议及时更新到最新版本。这类安全补丁还是不能拖的。
此页面可能包含第三方内容,仅供参考(非陈述/保证),不应被视为 Gate 认可其观点表述,也不得被视为财务或专业建议。详见声明
  • 赞赏
  • 7
  • 转发
  • 分享
评论
0/400
RugResistantvip
· 01-15 17:31
ngl 这个 opencode 漏洞链实际上相当严重……通过 markdown 参数执行任意命令?这让人联想到经典的供应链攻击。它们滥用 CSP 弱点的事实更是让情况变得更糟。无论如何,向 Cloudflare 致敬,及时发现了这个问题,但说真的,大家需要立即修补这个漏洞。
查看原文回复0
Solidity Survivorvip
· 01-13 20:11
卧槽,又是参数漏洞?开发者这日子是真的没法过啊,天天都得提心吊胆 直接执行任意命令这谁顶得住,还好官方反应够快,赶紧更新走起
回复0
OnChainSleuthvip
· 01-13 01:08
靠,又是参数漏洞...这次还能直接在机器上执行命令,有点狠啊 赶紧更新吧各位,别等着被钓鱼脚本坑 官方反应还算快,起码没拖着
回复0
NFTRegretDiaryvip
· 01-13 01:08
又是这种参数漏洞...开发者们又要加班打补丁了,赶紧更新别被黑了
回复0
链上淘金者vip
· 01-13 01:06
又是参数漏洞...开发者们还是要小心啊,这种隐蔽攻击真的防不胜防 --- Markdown 嵌恶意脚本这一套我是真没想到,太狠了,赶紧更新吧各位 --- 官方反应速度还不错,起码没有拖拖拉拉,CSP 强化是标准操作了 --- 终端 API 直接执行命令?这要是被黑了电脑里的私钥不就没了... --- 看这漏洞的复杂程度,感觉不只 OpenCode 要防,其他平台也该自查一遍 --- 我就想知道这玩意儿是怎么被发现的,Cloudflare 的安全团队属实在线
回复0
VitaliksTwinvip
· 01-13 01:02
好家伙,又是参数漏洞...开发者真的难啊,防不胜防 真就离谱,Markdown里都能埋恶意脚本?直接远程执行代码?这谁想到的 Cloudflare反应还算快,禁参数+强化CSP,套路还是那套路,赶紧更新吧各位
回复0
CountdownToBrokevip
· 01-13 00:56
天哪,又是参数漏洞,这年头没个安全意识真的活不下去啊 --- Markdown 里还能埋恶意脚本?这也太隐蔽了,我都没想到 --- 赶紧更新,不然哪天电脑就被远程执行了,想想都瘆人 --- Cloudflare 这回反应挺快的,至少官方没拖拉 --- 又要手动升级了,这类补丁确实不能等
回复0
交易,随时随地
qrCode
扫码下载 Gate App
社群列表
简体中文
  • 简体中文
  • English
  • Tiếng Việt
  • 繁體中文
  • Español
  • Русский
  • Français (Afrique)
  • Português (Portugal)
  • Bahasa Indonesia
  • 日本語
  • بالعربية
  • Українська
  • Português (Brasil)