#GitHub

virtualenv 修复 activate.fish 中反斜杠引号导致的命令执行问题

GitHub 安全公告 GHSA-c947-3pg5-gm8q 指出，virtualenv 的 FishActivator 未定义 quote()，沿用 shlex.quote 的 POSIX 规则。

virtualenv 21.14.4 修复 zsh 下 activate 脚本环境名命令注入问题

virtualenv 在 21.14.4 中修复了 zsh 用户执行 bash `activate` 脚本时的命令注入问题：环境名中的 `$(...)`、反引号或 `${...}` 在开启 `PROMPT_SUBST` 的 zsh 中会随每次提示符绘制被执行。

Vite 开发服务器在非 Windows 环境可返回 server.fs.allow 之外的文件

GitHub 安全公告 GHSA-rq7h-c2jc-7f22 指出，Vite 开发服务器在非 Windows 机器上，当项目导入文件的根相对路径与宿主机绝对路径相同时，可把 server.fs.allow 之外的文件内容返回给浏览器，例如 /etc/hosts。

Vite 自定义中间件跨源脚本执行漏洞（GHSA）可致开发服务器页面被注入脚本

Vite 开发服务器在将未经修改的浏览器请求 URL 传入 server.transformIndexHtml 时存在跨源脚本执行问题，攻击者可构造含 `//` 的路径让生成的模块 src 指向外部域名，从而在 Vite 页面中执行任意 JavaScript。

pypdf 修复多过滤器流导致内存占用过大的漏洞

pypdf 修复了多过滤器流导致内存占用过大的问题，攻击者可构造 PDF 触发大量内存消耗，需访问带有大量过滤器或经多个过滤器传递大量数据的流。该问题已在 pypdf==6.20.0 中修复，无法升级者可参考 PR #4173 的改动作为规避方案。

virtualenv 修复 bash activate 脚本环境名中反斜杠加 $ 触发命令执行的问题

virtualenv 发布通告，指出 bash 的 activate 脚本只对 PS1 的两轮处理中的一轮转义环境名，名称中含 \$(...) 时会在用户每次绘制提示符时以该用户权限执行命令，21.14.7 已修复。

ApostropheCMS 的 @apostrophecms/import-export 存在免认证资源耗尽问题

GitHub 安全公告披露 @apostrophecms/import-export 的分块导入上传路径存在潜在的免认证 DoS 问题，确认受影响版本为 3.6.2，更早的 3.x 版本可能同样受影响但尚未核实。

markdown-it 15.0.2 默认配置下未闭合链接引用定义导致 O(n²) 复杂度 DoS

GHSA-gfr2-rv44-r23c 指出 markdown-it 15.0.2 在默认配置下处理未闭合的链接引用定义标签或标题时呈 O(n²) 复杂度，属 CWE-407 算法复杂度拒绝服务，该问题由 14.0.0 的 PR #1004 引入。

Pillow 的 ImagingJpegDecode 存在堆缓冲区溢出，附 SOF3 复现环境

Pillow 在 ImagingJpegDecode 中未校验 libjpeg 返回的 output_width 与缓冲区尺寸，当 libjpeg-turbo 3.x 解码 SOF3 无损 JPEG 时缩放参数被忽略，导致堆缓冲区溢出。

Pillow 的 TiffDecode.c 存在堆越界读，公开复现脚本与修复补丁

Pillow 在解码畸形压缩 TIFF 时，src/libImaging/TiffDecode.c 的 _decodeTile() 与 _decodeAsRGBA() 会读取堆缓冲区之外的数据并写入返回图像的像素，攻击者可借此拿到进程堆内存片段，包括指针值，稍大的文件则会让进程崩溃。

Pillow 分块 TIFF 解码器 copy4 越界读取 tile 缓冲区

Pillow 的 libImaging `_decodeTile` 在解码分块 TIFF 时按 `row_byte_size * tile_length` 步进读取，但缓冲区只按 libtiff 返回的 `tile_bytes_size` 分配，当后者更小时 `copy4` 会越界读取。

同一件事，精选收录的是《Pillow 的 TiffDecode.c 存在堆越界读，公开复现脚本与修复补丁》

Pillow 修复不完整：解析 PDF 页树与 trailer 链存在无界递归（CVE-2026-42310 后续）

Pillow 的 PDF 解析存在无界递归问题，是 CVE-2026-42310 修复不完整的后续。

Pillow TIFF 编码器 ColorMap 平面尺寸不匹配导致堆越界读取

Pillow 的 TIFF 编码器在保存保留元数据的 TIFF 时存在堆越界读取：一个 1×1、16 位灰度、PackBits 压缩且含 tag 320（ColorMap）768 个 SHORT 值的 TIFF 可正常打开加载。

Pillow 修复 TiffDecode 短 JPEG strip 返回未初始化内存问题

GitHub 安全公告库发布 GHSA-q45j-58j2-45rg，指出 Pillow 的 src/libImaging/TiffDecode.c 中 _decodeStrip() 与 _decodeTile() 将缓冲区 realloc() 后未初始化。

Pillow EPS load(scale) 绕过解压炸弹限制，让 Ghostscript 渲染超大图像

Pillow 的 EPS 处理中，`load(scale=N)` 会把文件声明的尺寸乘以 scale 后直接交给 Ghostscript 渲染，却只对未缩放的原始尺寸做解压炸弹检查。

Pillow GIF seek 在 DecompressionBombError 后保留被拒尺寸，可致 DoS

Pillow 的 GifImageFile._seek() 在触发 DecompressionBombError 前就把放大后的尺寸写入 self._size，异常后不回滚，导致约 60 字节的 GIF 可让应用分配数 GB 内存直至 OOM。

Pillow 的 _imagingmorph 在零宽度图像上存在越界访问漏洞

Pillow 的 PPM/PGM 解析器接受宽度为 0 的图像，将其传给 ImageMorph.MorphOp.apply() 时，_imagingmorph.c 中的原生形态学代码会写入 outrow[width - 1]（即 outrow[-1]），导致进程崩溃。

A2A Java SDK 因服务端可控请求头名与重定向导致 API key 泄露

GitHub 安全公告指出 A2A Java SDK 的 AuthInterceptor 直接使用远端 agent AgentCard 中 APIKeySecurityScheme 的 name 字段作为 HTTP 请求头名，且未校验 location 是否为 HEADER。

A2A Java SDK 默认任务授权失效漏洞 GHSA-qw47-mcm5-934w 影响 1.2.0.Final 及更早版本

GitHub 安全公告披露 A2A Java SDK 的 Maven 包 org.a2aproject.sdk:a2a-java-sdk-server-common 存在默认任务授权失效问题。

A2A Java SDK 推送通知投递存在 SSRF，可访问云元数据端点

A2A Java SDK 的 `org.a2aproject.sdk:a2a-java-sdk-server-common` 推送通知投递存在 SSRF（CWE-918）。

A2A Java SDK 的 Android 同步 POST 在重定向修复后仍跨域转发凭证

A2A Java SDK 的 Android 同步 POST 路径在 GHSA-9rhm 修复后仍会跟随跨域重定向，把 X-API-Key、API-Key、X-Auth-Token、X-Authentication 四个非标准认证头转发到另一个 authority。

A2A Java SDK 在 protobuf 解析失败时明文记录推送通知凭据

A2A Java SDK 的 RestHandler.java 中 parseRequestBody 方法在 JsonFormat 解析抛出 InvalidProtocolBufferException 时，以 SEVERE 级别完整记录请求体，导致客户端提交的推送通知 bearer token 与 authentication.credentials 明文写入服务器日志。

Cachet v3 事件组件存在存储型 XSS 漏洞

Cachet v3 的事件创建表单存在存储型 XSS 漏洞，事件 Name 与 Message 字段未正确过滤 HTML 事件处理属性，受影响端点 /dashboard/incidents/。

AIOHTTP 连接池耗尽漏洞：Max-Age 处理溢出可跳过连接关闭

AIOHTTP 存在 Max-Age 处理溢出问题，可导致连接关闭被跳过。攻击者可能借此暂时耗尽连接池，直至垃圾回收机制回收这些连接。

AIOHTTP 漏洞：子域 Cookie 可移除现有 Cookie 的 Host-Only 作用域

AIOHTTP 存在漏洞，子域可移除父域现有 Cookie 的 Host-Only 标志。用户访问不受信任的子域时，其 Cookie 的 Host-Only 保护可能被剥离；由于多数使用场景不会将这些 Cookie 回显到浏览器，影响有限。

AIOHTTP 绝对形式请求可伪造 Request.scheme

AIOHTTP 存在缺陷：攻击者发送绝对形式（absolute-form）请求即可伪造 Request.scheme 的取值。若用户代码将 Request.scheme 用于安全相关判断，可能被绕过，使应用误判连接是否加密。规避方案是用 WAF 规则拒绝绝对形式请求，正常请求仅在代理场景下才应使用该形式。

MCP TypeScript SDK 修复单请求耗尽服务器内存问题 GHSA-46jr-4wx8-v453

GitHub 安全公告指出，@modelcontextprotocol/sdk 1.3.0 至 1.31.0 与 @modelcontextprotocol/server 2.0.0 至 2.2.0 未限制单次请求校验的数组元素与对象键数量。

MCP TypeScript server SDK 修复共享传输导致跨客户端消息串流问题

GitHub 安全公告指出，@modelcontextprotocol/server 2.0.0 至 2.2.0 在多个客户端共用同一无状态传输或同一 McpServer、Server 实例时，仅按 JSON-RPC id 匹配连接，而 SDK 客户端从 0 开始编号请求，导致一个客户端的响应和通知被投递给另一个客户端。

markdown-it 开启 html 时内联 HTML 解析存在二次时间复杂度 DoS

markdown-it 在 `html: true` 下解析段落内重复的未闭合 HTML 构造（注释、`?>`、`>`、`]]>`）时呈二次时间复杂度，`15.0.2` 上 64,000 次重复的注释载荷耗时 8,799 ms，128,000 次重复约 500 KiB 的载荷耗时 32,847 ms。

certifi 2026.10.18 之前版本内置私钥泄露的 emSign 中间 CA 根证书

GitHub 安全公告指出，2026.10.18 之前的 certifi 版本在内置 CA 库中包含 `emSign ECC Root CA - G3` 根证书，链到该根证书的 8 张 eMudhra 中间 CA 证书私钥已泄露并被 CA 吊销。

uv 0.13.4 移除内置 CA 包中私钥已泄露的 emSign 根证书

uv 默认使用内置的 webpki-root-certs 证书包校验 TLS 连接，0.13.4 之前的版本包含 emSign ECC Root CA - G3 根证书，而链接到该根证书的 8 张 eMudhra 中间 CA 证书私钥已泄露并被 CA 吊销。

MCP TypeScript SDK 修复 bearer 认证接受其他服务令牌的问题

MCP TypeScript SDK 受影响版本的服务器端 bearer 认证无法校验令牌是否签发给本服务，当同一授权服务器为多个服务签发令牌时，其他服务的有效令牌也会被接受。

launch-editor 在 Windows 上的 fs.existsSync() 存在性检查可被绕过

GitHub 安全公告指出，launch-editor 在把传入路径交给编辑器命令前会调用 fs.existsSync(fileName) 做检查，而在 Windows 上，攻击者可以用以 \\..:line:column 结尾的构造路径绕过该检查，从而不再需要预先放置恶意文件名。

launch-editor 编辑器 CLI 参数误解析导致任意命令执行，涉及 Vim、Emacs 等编辑器

launch-editor 将文件路径未经净化直接传给编辑器，若路径以 `+` 或 `-` 开头，Vim、MacVim、Emacs、Notepad++ 等会将其当作 CLI 参数解析，可能造成文件覆盖或命令执行。

aiohttp 通告 multipart 请求可耗尽文件描述符

GitHub 安全公告库发布 GHSA-9xw5-w5jj-pvcg，指出 aiohttp 在处理特制的 multipart 请求时可能耗尽文件描述符。若处理程序使用 Request.post()，攻击者可能占用不限数量的文件描述符，导致资源耗尽。

AIOHTTP 纯 Python 解析器存在 HTTP 请求走私风险

GitHub 安全公告库发布 AIOHTTP 通告，指出纯 Python 解析器存在 HTTP 请求走私问题。使用 Python 解析器（设置 AIOHTTP_NO_EXTENSIONS，或未安装标准 wheel）的应用可能受影响，规避方式是切换到默认的 C 解析器。

sanitize-html 2.17.7 的 SMIL 防护可被命名空间前缀绕过，PoC 可注入 javascript: URI

sanitize-html 2.17.7 引入的 animatesUrlAttribute() 在检查 SMIL 动画元素时只比对裸标签名，使用 svg:animate 等命名空间前缀即可绕过，使 animate 的 attributeName 指向 href 并注入 javascript: URI。

ApostropheCMS 的 uploadfs 本地存储存在路径穿越，可任意读写删文件

GitHub 安全公告 GHSA-gmfx-5g6x-rr72 指出，ApostropheCMS 的 uploadfs 库本地存储后端不校验用户传入路径，prefixPath() 只去掉双斜杠，后端直接拼接 uploadsPath + path，攻击者可用 ../ 逃逸上传目录，实现任意文件读取、写入和删除。

ApostropheCMS import-export 的 tar 防护因字面量 '../' 子串检测漏掉 './..'，可致 Node 进程崩溃

ApostropheCMS 的 @apostrophecms/import-export 3.6.2 中，为 GHSA-mwxc-m426-3f78 添加的 tar 解压防护仅做字面量 '../' 子串检测。

ApostropheCMS 通知 PATCH/DELETE 端点缺少授权，可未认证删除他人通知

ApostropheCMS 的 notification 模块 PATCH 与 DELETE REST 端点未校验认证与归属，未认证攻击者只要拿到有效通知 ID 即可修改或永久删除他人通知。