跳到正文
只看一手#逻辑缺陷
今天10月23日周五17 条
  1. GitHub 安全公告库 (GHSA)58

    toml-node 的 toml.parse() 因超长整数字面量存在 CPU DoS 漏洞

    GitHub 安全公告披露 toml-node 的 toml.parse() 在处理十六进制、八进制、二进制和十进制整数字面量时，未先限制数字串长度就直接调用 BigInt()，导致超线性耗时。

    为什么值得看：公告给出了可复现的 PoC 与实测耗时表，说明单个超长整数字面量即可阻塞 Node.js 事件循环。

  15. GitHub 安全公告库 (GHSA)58

    Next.js 修复嵌套 use cache 函数跨 root param 值缓存泄漏问题

    GitHub 安全公告指出，启用 cacheComponents: true 时，若一个 use cache 函数调用另一个读取 root param 的 use cache 函数，且内层调用命中已有缓存条目，外层函数的缓存键会遗漏该 root param，导致同一份响应被复用于所有 root param 值。

    为什么值得看：通告说明启用 Cache Components 后嵌套 use cache 函数的缓存键会漏掉 root param，导致跨值内容串用，且无规避方案。

  16. GitHub 安全公告库 (GHSA)58

    Django REST framework 的 TokenProxy.delete() 静默失效，撤销令牌不生效

    Django REST framework 的 TokenProxy.delete() 调用不抛异常并返回成功，但实际未删除数据库行，令牌仍可继续认证。原因是 TokenProxy 将 pk 覆写为 user_id，删除语句用用户 id 去匹配 40 位 key 列，返回 (0, {'authtoken.TokenProxy': 0})。

    为什么值得看：材料给出可运行的复现脚本与对照实验，说明通过 TokenProxy 撤销令牌会静默失效，便于自查撤销逻辑。

10月22日周四
  2. GitHub 安全公告库 (GHSA)22

    virtualenv 删除失败恢复逻辑可改变符号链接目标权限（21.7.5 起，PR #3427 修复）

    virtualenv 的 safe_delete() 在删除失败恢复权限时用 lstat() 读取符号链接自身权限位，却用会跟随链接的 chmod() 应用，导致只读目录内符号链接指向的目标文件权限被改为 0777。该错误处理逻辑自 21.7.5 引入，需删除失败且调用用户拥有目标文件并可修改其权限，root 不会进入该路径。PR #3427 已避免在删除失败时修改 POSIX 权限。

  10. GitHub 安全公告库 (GHSA)58

    ApostropheCMS 公共 REST API 的 search 与 sort 查询构造器可绕过 publicApiProjection，未认证即可探测隐藏字段

    ApostropheCMS 的公共 REST API 在处理匿名请求时，会先执行 query string 中所有可 launder 的查询构造器，再强制套用 publicApiProjection，而 search 与 sort 这两个构造器作用于底层文档、不受投影限制。

    为什么值得看：公告给出可复现的 curl 请求与实测结果，说明 search 与 sort 两个查询构造器如何绕过字段白名单。

  13. GitHub 安全公告库 (GHSA)36

    ApostropheCMS slugTaken 接口向任意已认证用户泄露私有内容存在性

    ApostropheCMS 的 POST /api/v1/@apostrophecms/doc/slugTaken 接口存在信息泄露问题，任意已登录用户（editor 角色即可）可通过返回的布尔值枚举私有页面、草稿与归档内容的 slug。该接口未校验读取权限，也未按 visibility、viewRole 或发布状态过滤，攻击者可借此摸清 CMS 全部内容结构。

10月21日周三
  7. GitHub 安全公告库 (GHSA)58

    markdown-it 15.0.2 默认配置下未闭合链接引用定义导致 O(n²) 复杂度 DoS

    GHSA-gfr2-rv44-r23c 指出 markdown-it 15.0.2 在默认配置下处理未闭合的链接引用定义标签或标题时呈 O(n²) 复杂度，属 CWE-407 算法复杂度拒绝服务，该问题由 14.0.0 的 PR #1004 引入。

    为什么值得看：公告给出可运行的 PoC 与各版本耗时对比，能帮助用 markdown-it 渲染用户内容的服务判断是否需要限制请求体大小。