GGitHub / GHSA 最新动态

为什么值得看：公告说明 certifi 内置的 emSign 根证书链上存在私钥泄露的中间 CA，并给出受影响版本与升级版本，便于排查依赖链。

为什么值得看：公告说明 uv 内置根证书包中受影响的根证书与修复版本，使用默认 TLS 校验的开发者可据此判断是否需要升级。

为什么值得看：公告说明了受影响版本区间与修复版本，并指出仅升级不生效，需同时配置 expectedResource 与返回 aud 才能挡住其他服务的令牌。

为什么值得看：公告给出 uploadfs 本地存储路径拼接缺陷的成因与可复现请求，并附修复校验思路，便于自查上传接口。

为什么值得看：公告说明了跨源重定向会泄露自定义请求头与 OAuth 凭据，并给出受影响版本区间和升级版本，便于使用该 SDK 的开发者核对。

为什么值得看：公告指出数组形式 headers 会让跨域凭据剥离静默失效，并给出可复现脚本与修复思路，便于使用该库的 Node.js 项目自查。

为什么值得看：公告给出可复现的 curl 步骤，说明跨域会话令牌放在 URL 查询参数里如何被无凭证客户端直接接管会话。

为什么值得看：公告给出了匿名读取私有页面的 curl 复现步骤，并指出 getOne 与 all=1 两处缺少权限校验的代码位置。

为什么值得看：披露给出可复现的 URL 载荷与 sink 调用栈，并区分了 ApostropheCMS 自身缺陷与 Vue 框架通用 gadget。

为什么值得看：公告说明该模块的 update-key 查询值未经清洗，并给出与 GHSA-79qf-vqgc-7xx3 同类的修复思路，便于开发者对照自查。

为什么值得看：公告说明了二次解码导致静态路径中间件被绕过的条件，挂载鉴权中间件的应用可据此判断是否受影响。

为什么值得看：材料在已修复旧通告的 3.2.4 版本上实测复现了免认证 RCE，并附可运行 PoC，说明黑名单思路无法覆盖内核接口。

为什么值得看：公告指出会话恢复路径未校验会话 ID 内嵌的 subject，且 Helm 默认种子为公开固定值，可据此判断多租户部署的会话隔离风险。

为什么值得看：公告给出完整复现步骤与修复代码，可对照检查自家 Mercury 部署是否暴露 /api/terminals。