跳到正文
只看漏洞通告#逻辑缺陷
  1. GitHub 安全公告库 (GHSA)58

    toml-node 的 toml.parse() 因超长整数字面量存在 CPU DoS 漏洞

    GitHub 安全公告披露 toml-node 的 toml.parse() 在处理十六进制、八进制、二进制和十进制整数字面量时，未先限制数字串长度就直接调用 BigInt()，导致超线性耗时。

    为什么值得看：公告给出了可复现的 PoC 与实测耗时表，说明单个超长整数字面量即可阻塞 Node.js 事件循环。

  2. GitHub 安全公告库 (GHSA)58

    OpenTelemetry Python opentelemetry-api 修复 tracestate 解析 CPU 耗尽问题

    GitHub 安全公告 GHSA-xcq7-p3pf-p88h 指出，opentelemetry-api 的 TraceState.from_header 用正则拆分 W3C tracestate 头且未先做长度限制。

    为什么值得看：通告给出受影响版本区间与 1.45.1 修复版本，并说明默认传播配置下即可触发，便于确认部署风险。

  3. GitHub 安全公告库 (GHSA)58

    Next.js 修复嵌套 use cache 函数跨 root param 值缓存泄漏问题

    GitHub 安全公告指出，启用 cacheComponents: true 时，若一个 use cache 函数调用另一个读取 root param 的 use cache 函数，且内层调用命中已有缓存条目，外层函数的缓存键会遗漏该 root param，导致同一份响应被复用于所有 root param 值。

    为什么值得看：通告说明启用 Cache Components 后嵌套 use cache 函数的缓存键会漏掉 root param，导致跨值内容串用，且无规避方案。

  2. GitHub 安全公告库 (GHSA)58

    MCP TypeScript server SDK 修复共享传输导致跨客户端消息串流问题

    GitHub 安全公告指出，@modelcontextprotocol/server 2.0.0 至 2.2.0 在多个客户端共用同一无状态传输或同一 McpServer、Server 实例时，仅按 JSON-RPC id 匹配连接，而 SDK 客户端从 0 开始编号请求，导致一个客户端的响应和通知被投递给另一个客户端。

    为什么值得看：公告说明了共享传输导致消息串流的成因、受影响版本区间，并强调升级后还需改代码才能避免请求失败。

  3. GitHub 安全公告库 (GHSA)58

    @angular/router 在 SSR 下因 RouterLink 保留查询参数存在 DoS 漏洞，22.2.1 与 21.2.25 已修复

    GitHub 安全公告指出，@angular/router 在 Node.js 上启用 SSR 且 RouterLink 使用 queryParamsHandling: 'merge' 或 'preserve' 时存在 DoS 漏洞，未认证远程攻击者可用并发请求耗尽 Node.js old-space 堆并导致 worker 崩溃。

    为什么值得看：通告给出了触发条件、受影响版本区间与修复版本，使用 Angular SSR 的团队可据此判断是否需要升级或加查询串长度限制。

已经到底了