GitHub 安全公告库 (GHSA)·2026-10-20 00:11· 3 天前AI 评分36

LoopX serve-status 宽松 CORS 策略暴露控制面状态与私有 Markdown 文件

LoopX serve-status permissive CORS policy exposes control-plane state and private Markdown files

AI 导读

LoopX 的 serve-status 服务对所有响应（含无需认证的 GET 路由）返回 Access-Control-Allow-Origin: *，任意网站可用 fetch() 在无交互情况下读取控制面状态与 goal 仓库内 .md 文件内容。