跳到正文
#逻辑缺陷
今天10月23日周五17 条
  1. GitHub 安全公告库 (GHSA)58

    toml-node 的 toml.parse() 因超长整数字面量存在 CPU DoS 漏洞

    GitHub 安全公告披露 toml-node 的 toml.parse() 在处理十六进制、八进制、二进制和十进制整数字面量时，未先限制数字串长度就直接调用 BigInt()，导致超线性耗时。

    为什么值得看：公告给出了可复现的 PoC 与实测耗时表，说明单个超长整数字面量即可阻塞 Node.js 事件循环。

  15. GitHub 安全公告库 (GHSA)58

    Next.js 修复嵌套 use cache 函数跨 root param 值缓存泄漏问题

    GitHub 安全公告指出，启用 cacheComponents: true 时，若一个 use cache 函数调用另一个读取 root param 的 use cache 函数，且内层调用命中已有缓存条目，外层函数的缓存键会遗漏该 root param，导致同一份响应被复用于所有 root param 值。

    为什么值得看：通告说明启用 Cache Components 后嵌套 use cache 函数的缓存键会漏掉 root param，导致跨值内容串用，且无规避方案。

  16. GitHub 安全公告库 (GHSA)58

    Django REST framework 的 TokenProxy.delete() 静默失效，撤销令牌不生效

    Django REST framework 的 TokenProxy.delete() 调用不抛异常并返回成功，但实际未删除数据库行，令牌仍可继续认证。原因是 TokenProxy 将 pk 覆写为 user_id，删除语句用用户 id 去匹配 40 位 key 列，返回 (0, {'authtoken.TokenProxy': 0})。

    为什么值得看：材料给出可运行的复现脚本与对照实验，说明通过 TokenProxy 撤销令牌会静默失效，便于自查撤销逻辑。

10月22日周四
  1. SecurityWeek63

    Signal 修复 RingRTC 高危漏洞 CVE-2026-113380，挂断后通话仍可能保持

    Signal 修复了 RingRTC 中的高危漏洞 CVE-2026-113380（CVSS 9.3），恶意呼叫方可在用户挂断后继续维持音频和视频轨道。问题根源在于挂断未被当作终止开关，而是作为事件加入 FSM 事件队列，且对端事件没有速率限制、挂断事件也没有优先级，攻击者可用垃圾事件淹没队列使挂断一直排队。

  4. GitHub 安全公告库 (GHSA)22

    virtualenv 删除失败恢复逻辑可改变符号链接目标权限（21.7.5 起，PR #3427 修复）

    virtualenv 的 safe_delete() 在删除失败恢复权限时用 lstat() 读取符号链接自身权限位，却用会跟随链接的 chmod() 应用，导致只读目录内符号链接指向的目标文件权限被改为 0777。该错误处理逻辑自 21.7.5 引入，需删除失败且调用用户拥有目标文件并可修改其权限，root 不会进入该路径。PR #3427 已避免在删除失败时修改 POSIX 权限。

  12. GitHub 安全公告库 (GHSA)58

    ApostropheCMS 公共 REST API 的 search 与 sort 查询构造器可绕过 publicApiProjection，未认证即可探测隐藏字段

    ApostropheCMS 的公共 REST API 在处理匿名请求时，会先执行 query string 中所有可 launder 的查询构造器，再强制套用 publicApiProjection，而 search 与 sort 这两个构造器作用于底层文档、不受投影限制。

    为什么值得看：公告给出可复现的 curl 请求与实测结果，说明 search 与 sort 两个查询构造器如何绕过字段白名单。

  16. GitHub 安全公告库 (GHSA)36

    ApostropheCMS slugTaken 接口向任意已认证用户泄露私有内容存在性

    ApostropheCMS 的 POST /api/v1/@apostrophecms/doc/slugTaken 接口存在信息泄露问题，任意已登录用户（editor 角色即可）可通过返回的布尔值枚举私有页面、草稿与归档内容的 slug。该接口未校验读取权限，也未按 visibility、viewRole 或发布状态过滤，攻击者可借此摸清 CMS 全部内容结构。

  18. Sploitus 利用聚合78

    Node.js dns.resolve* NUL 截断漏洞 CVE-2026-105482 的利用工具公开

    GitHub 上公开了针对 CVE-2026-105482 的利用工具，该漏洞源于 Node.js 的 dns.resolve* 把含 NUL 字节的字符串交给 c-ares 按 C 字符串处理，应用层用 endsWith 等做的主机白名单校验因此被绕过，进而形成 SSRF。

    为什么值得看：公开的利用工具把 NUL 截断与 DNS 解析的差异串成可运行的 SSRF 链路，并给出检测思路与修复版本。

10月21日周三