2026-01-13 00:38:59

OpenCode 最近爆出了一个比较严重的安全问题。Cloudflare 的安全研究员发现，Web 前端支持的某个参数存在被滥用的风险。

具体来说，攻击者可以利用这个参数指向恶意服务器。然后通过伪造 Markdown 会话，在其中嵌入恶意脚本，诱导用户点击相关链接。一旦用户上当，攻击者就能通过终端 API 在用户计算机上执行任意命令。这种攻击方式还是挺隐蔽的，对开发者来说风险不小。

好消息是官方已经迅速推出了修复方案。主要措施包括：禁用了这个有问题的参数，还强化了内容安全策略（CSP），防止恶意脚本的加载。如果你在用相关工具，建议及时更新到最新版本。这类安全补丁还是不能拖的。

На этой странице может содержаться сторонний контент, который предоставляется исключительно в информационных целях (не в качестве заявлений/гарантий) и не должен рассматриваться как поддержка взглядов компании Gate или как финансовый или профессиональный совет. Подробности смотрите в разделе «Отказ от ответственности» .

8 Лайков

Награда
8
5
Репост
Поделиться

комментарий

0/400

OnChainSleuth

· 13ч назад

Опять уязвимость в параметрах... на этот раз можно прямо на машине выполнить команду, довольно жестко Быстро обновляйтесь, ребята, не ждите, пока вас поймают фишинговые скрипты Официальная реакция довольно быстрая, по крайней мере, не затягивали

Посмотреть ОригиналОтветить0

NFTRegretDiary

· 13ч назад

Опять эта уязвимость параметров... разработчики снова вынуждены работать сверхурочно, чтобы исправить её. Обновляйте скорее, чтобы не попасться на хакеров.

Посмотреть ОригиналОтветить0

ChainProspector

· 14ч назад

Опять уязвимость в параметрах... разработчикам всё равно нужно быть осторожными, такие скрытые атаки действительно трудно предотвратить --- Я действительно не ожидал такой схемы внедрения вредоносных скриптов в Markdown, очень жестко, срочно обновляйтесь, ребята --- Официальная реакция достаточно быстрая, по крайней мере не затягивают, усиление CSP — стандартная практика --- Прямое выполнение команд через API терминала? Если взломают компьютер, приватные ключи пропадут... --- С учетом сложности этой уязвимости, кажется, что не только OpenCode должен защищаться, другие платформы тоже стоит проверить --- Мне интересно, как это было обнаружено, команда безопасности Cloudflare действительно на высоте

Посмотреть ОригиналОтветить0

VitaliksTwin

· 14ч назад

Ничего себе, снова уязвимость в параметрах... Разработчикам действительно трудно, защититься невозможно Это просто безумие, в Markdown можно спрятать вредоносный скрипт? Выполнить код удаленно? Кто бы мог подумать Ответ Cloudflare был достаточно быстрым: отключение параметров + усиление CSP, все по старой схеме. Обновляйтесь скорее, ребята

Посмотреть ОригиналОтветить0

CountdownToBroke

· 14ч назад

Боже, снова уязвимость в параметрах, в наши дни без чувства безопасности просто невозможно выжить --- В Markdown всё ещё можно спрятать вредоносный скрипт? Это слишком скрытно, я даже не ожидал --- Поторопитесь с обновлением, иначе в один прекрасный день ваш компьютер может быть взломан удалённо, от этого становится жутко --- На этот раз Cloudflare среагировал довольно быстро, по крайней мере официальные представители не тянули время --- Опять придётся обновлять вручную, такие патчи действительно нельзя откладывать

Посмотреть ОригиналОтветить0