OpenCode 最近爆出了一个比較嚴重的安全問題。Cloudflare 的安全研究員發現，Web 前端支持的某個參數存在被濫用的風險。

具體來說，攻擊者可以利用這個參數指向惡意伺服器。然後通過偽造 Markdown 會話，在其中嵌入惡意腳本，誘導用戶點擊相關連結。一旦用戶上當，攻擊者就能通過終端 API 在用戶電腦上執行任意命令。這種攻擊方式還挺隱蔽的，對開發者來說風險不小。

好消息是官方已經迅速推出了修復方案。主要措施包括：禁用了這個有問題的參數，還強化了內容安全策略（CSP），防止惡意腳本的載入。如果你在用相關工具，建議及時更新到最新版本。這類安全補丁還是不能拖的。