GitHub 安全公告库 (GHSA)·· 3 天前精选AI 评分78
Mercury 因 BLOCKED_PATTERNS 缺少逗号导致 /api/terminals 免认证 RCE
Mercury: Unauthenticated Remote Code Execution in /api/terminals - access control bypass
AI 导读
Mercury 的 mercury_app/block_handler.py 中 BLOCKED_PATTERNS 列表缺少一个逗号，使前两条规则被合并，/api/terminals 不再被拦截，任何无需认证的攻击者都能通过该接口启动 OS shell。
为什么值得看
公告给出完整复现步骤与修复代码，可对照检查自家 Mercury 部署是否暴露 /api/terminals。
来源：GitHub 安全公告库 (GHSA) · github.com