跳到正文
#漏洞通告
今天10月23日周五45 条
  3. GitHub 安全公告库 (GHSA)58

    Astro 修复 JSX/MDX 渲染中 script/style 内容未转义导致的反射与存储 XSS

    Astro 发布安全通告，指出 JSX 与 MDX 渲染管线对 script、style 元素的动态字符串子节点未做转义，攻击者可控值可提前闭合元素并注入任意 HTML 与 JavaScript，造成反射或存储 XSS。

    为什么值得看：通告说明了 Astro 的 JSX/MDX 渲染在动态字符串子节点上未转义，并给出 7.3.2 修复版本与规避写法。

  4. GitHub 安全公告库 (GHSA)47

    Storybook 修复 dev server 局域网代码注入漏洞，发布 8.6.19、9.1.21、10.6.2 等补丁版本

    Storybook 发布安全通告，指出 dev server 会把 WebSocket 认证 token 暴露给任何能加载其 HTML 页面的客户端，同一局域网内的主机可通过 IP 访问并取得该 token，进而向 story 文件注入代码或创建新文件，在特定条件下可在开发者机器上执行代码。

  5. GitHub 安全公告库 (GHSA)58

    toml-node 的 toml.parse() 因超长整数字面量存在 CPU DoS 漏洞

    GitHub 安全公告披露 toml-node 的 toml.parse() 在处理十六进制、八进制、二进制和十进制整数字面量时，未先限制数字串长度就直接调用 BigInt()，导致超线性耗时。

    为什么值得看：公告给出了可复现的 PoC 与实测耗时表，说明单个超长整数字面量即可阻塞 Node.js 事件循环。

  8. GitHub 安全公告库 (GHSA)58

    fastify 修复 propertyNames 头部名校验绕过问题，升级至 5.12.6

    fastify 发布通告，指出 headers schema 在编译前只把属性键位置的头部名转小写，propertyNames 子 schema 中 enum 与 const 里的头部名未被归一化，导致以标准大小写书写的头部名拒绝列表无法匹配小写请求头，被禁止的头部仍可到达处理函数。

    为什么值得看：通告说明这是 CVE-2026-84428 修复不完整留下的缺口，并给出 5.12.6 升级与两种规避写法。

  9. GitHub 安全公告库 (GHSA)78

    Next.js 通告 use cache 函数返回 typed array 可致免认证 RCE

    GitHub 安全公告库发布 Next.js 通告，指出使用 App Router 与 Cache Component 的应用若存在返回多个 typed array 的 use cache 函数，可导致远程代码执行。通告称此类受影响应用没有已知规避方案，即使应用不含类似函数也建议立即升级。

    为什么值得看：通告说明使用 App Router 与 Cache Component 且 use cache 函数返回多个 typed array 的应用存在 RCE 风险，且无规避方案。

  12. GitHub 安全公告库 (GHSA)24

    Electron 修复 webContents.beginFrameSubscription 帧几何校验缺失漏洞

    Electron 修复了 webContents.beginFrameSubscription 未充分校验 GPU 进程帧数据的问题，被攻陷的 GPU 进程可致主进程越界读取内存，造成内存泄露或应用崩溃。仅使用该帧订阅接口且攻击者已单独获得 GPU 进程代码执行的应用受影响，无应用侧规避方案，需升级至 45.0.0-alpha.9、44.4.3、43.7.3 或 42.11.6。

  19. GitHub 安全公告库 (GHSA)58

    Nuxt 修复 routeRules 未解码请求路径导致 appMiddleware 被绕过的问题

    Nuxt 通告指出，routeRules 的键与原始请求路径比较时未解码百分号编码，而路由解析会解码参数，因此对动态或通配路由发起的编码路径请求可跳过 appMiddleware 等规则，无需认证与用户交互。

    为什么值得看：通告说明了动态与通配路由下 appMiddleware 被百分号编码绕过的条件，并给出修复版本与页面级中间件的规避方案。

  20. GitHub 安全公告库 (GHSA)42

    Nuxt 修复 GHSA-934w-87qh-qr26 不完整补丁：pages 禁用时控制字符前缀的 javascript: URL 可执行

    Nuxt 披露 GHSA-934w-87qh-qr26（CVE-2026-53722）修复不完整：在 pages 禁用（pages 为 false、无 pages/ 目录）的应用中，将不受控输入绑定到 :to 时，以 ASCII C0 控制字符（如 %01）前缀的 javascript: URL 会被当作内部路由绕过协议检查，点击后在本域执行脚本。

  22. GitHub 安全公告库 (GHSA)58

    Nuxt 修复大小写变体路径跳过服务器端路由规则的问题，4.6.2 已修补

    Nuxt 发布通告，指出在默认 router.options.sensitive: false 下页面路由不区分大小写，而服务器端路由规则由 Nitro 匹配器按大小写敏感解析，导致 /Admin 这类大小写变体路径跳过 redirect、headers、proxy、ssr: false 等规则。

    为什么值得看：通告说明大小写变体路径会跳过 redirect、headers 等服务器端路由规则，并给出 Nuxt 3 无修复的处置建议。

  23. GitHub 安全公告库 (GHSA)60

    GraphQL-core 修复 OverlappingFieldsCanBeMerged 校验规则二次复杂度 DoS

    GraphQL-core 发布通告，指出默认启用的 OverlappingFieldsCanBeMerged 校验规则可被小体积查询触发二次复杂度，364 KB 文档在 3.2.8 上校验耗时 319 秒，且无需认证。

    为什么值得看：通告给出了触发条件、实测耗时与修复版本，并说明常规深度限制和 WAF 为何挡不住这类校验期 DoS。

  24. GitHub 安全公告库 (GHSA)58

    GraphQL-core 修复注释 token 绕过 max_tokens 限制导致的拒绝服务漏洞

    GraphQL-core 发布通告，指出解析器的 max_tokens 限制未统计注释 token，用注释填充的文档可绕过该限制并持续占用内存，38 MB 载荷在 max_tokens=5 下额外占用约 92 MB 常驻内存。

    为什么值得看：通告说明了 max_tokens 未统计注释 token 的计数缺口，并给出升级后注释计入上限的行为变化。

  25. GitHub 安全公告库 (GHSA)58

    @graphql-tools/utils 的 mergeIncrementalResult 存在原型污染，12.0.2 已修复

    GitHub 安全公告披露 @graphql-tools/utils 的 mergeIncrementalResult 存在原型污染，攻击者可用数组形式的 path 段绕过 __proto__ 等键名检查，向 Object.prototype 写入任意属性。

    为什么值得看：报告给出可运行复现与 npm 各版本实测差异，说明非原始类型 path 段如何绕过键名检查写入 Object.prototype。

  28. GitHub 安全公告库 (GHSA)58

    nbconvert <= 7.17.1 导出 md/latex/rst/asciidoc 时存在路径穿越任意文件写入漏洞

    GitHub 安全公告指出 nbconvert <= 7.17.1 在导出为 markdown、latex、rst、asciidoc 时存在任意文件写入漏洞，ExtractOutputPreprocessor 在 extractoutput.py:116-119 将攻击者可控的 path 直接拼接到 output_files_dir 且未做规范化校验。

    为什么值得看：公告给出可复现的 ipynb 片段，说明恶意 cell 输出文件名如何穿越目录写入任意位置，便于验证与排查。

  31. GitHub 安全公告库 (GHSA)75

    PyJWT 2.13.0 及之前版本经 oct JWK 空 HMAC 密钥可伪造 HS256 令牌，2.14.0 修复

    PyJWT 的 HMACAlgorithm.from_jwk 接受 k 为空字符串的 oct JWK 并返回零长度密钥，使经 PyJWK、PyJWKSet 或 PyJWKClient 校验的 HS256/384/512 令牌可被攻击者用空密钥伪造，默认配置下仅触发 InsecureKeyLengthWarning 而不报错。

    为什么值得看：披露 PyJWT 空 HMAC 密钥校验缺口的同时给出可运行的伪造令牌复现流程，便于自查 JWKS 配置。

  32. GitHub 安全公告库 (GHSA)58

    stream-json 的 FlexAssembler 字符串/RegExp 路径过滤存在 O(depth^2) CPU 拒绝服务问题

    GitHub 安全公告 GHSA-jj87-hc4r-jwfw 指出，npm 包 stream-json 的 FlexAssembler 在规则 filter 为字符串或 RegExp 时，每次容器开始都会对完整 keyStack 执行 join，嵌套深度 D 的文档产生 O(D^2) CPU 开销，约 96 KB（深度 16000）的输入可阻塞事件循环超过 1 秒。

    为什么值得看：通告说明 stream-json 的 FlexAssembler 在字符串或 RegExp 过滤规则下存在平方级 CPU 消耗，并给出 maxDepth 默认 1024 的修复。

  35. GitHub 安全公告库 (GHSA)78

    Next.js 图像优化 API 处理 SVG 时存在免认证 RCE 漏洞

    GitHub 安全公告指出，Next.js 用于图像优化的上游库存在内存相关漏洞，当 Next.js 运行在基于 glibc 的 Linux 上时可能导致 RCE。规避方案是确保 Next.js 使用的 sharp 版本大于或等于 0.35.5，全新安装会自动获得修复版本，升级 Next.js 到已修复版本也能让包管理器自动提供修复后的 sharp。

    为什么值得看：通告说明 Next.js 图像优化依赖的上游库存在内存问题，并给出 sharp 版本与升级两条规避路径。