PSA: Mastodon 安全漏洞；请尽快更新。

漏洞使攻击者可以伪装为任意远程账户。

cve: CVE-2024-23832
cvss: 9.4 (GitHub)
fixed-at: 3.5.17, 4.0.13, 4.1.13, 4.2.5

https://github.com/mastodon/mastodon/releases/tag/v4.2.5

[感谢订户提供此消息。]

#PSA #Mastodon

#PSA: xz 5.6.0/5.6.1 版本存在后门。请立即更新。

https://www.openwall.com/lists/oss-security/2024/03/29/4

CVE: CVE-2024-3094 (CVSS: 10.0 Critical)

#xz #Security #Backdoor

#PSA 请尽快更新 Windows：Wi-Fi 驱动漏洞，可被近场骇客利用于远程代码执行。

微软已发布补丁 KB5039211/12/13/14/25 等以修补此漏洞。

CVE: CVE-2024-30078
CVSS: 8.8 (Microsoft)

msrc.microsoft.com/~

linksrc: https://t.me/DNSPODT/4684

#CVE #Windows

#PSA: 请停止使用 polyfill.io ； polyfill.io 被发现注入恶意代码到浏览器，将用户跳转至其它网站。

有需求的网站主可换用 Fastly 和 Cloudflare 的替代服务 [thread]。

theregister.com/~

thread: /4454

#PolyfillIO #Security

#PSA ：请更新 OpenSSH；远程任意代码执行漏洞。

关于此 CVE：
- 这是 CVE-2006-5051 的 regression。
- 在开启 ASLR 的 i386 设备上，大约需要 6-8 小时获取 root shell；在开启 ASLR 的 amd64 设备上则可能需要约一周左右。
- 临时的修复是设置 LoginGraceTime 为 0，不过这会使 ssh 服务易于受到 DoS 攻击。

CVE: CVE-2024-6387

Affects: [8.5p1, 9.8p1)

https://www.qualys.com/regresshion-cve-2024-6387/

#CVE #RegreSSHion

#PSA ：Mastodon 实例管理员请更新至 4.2.10；新漏洞或会使私有贴文泄露。

https://github.com/mastodon/mastodon/releases/tag/v4.2.10

CVE: CVE-2024-37903
CVSS: 8.2 (GitHub)

#Mastodon

#PSA: Windows 远程桌面授权服务存在无需交互的 RCE；请尽快更新。

波及 Windows Server 2008-2022。无法更新的用户可考虑禁用 Remote Desktop Licensing Service 服务。

msrc.microsoft.com/~

CVE: CVE-2024-38077
CVSS: 9.8 (Microsoft)

#CVE #WindowsServer

#PSA: Windows TCP/IP IPv6 相关 RCE 漏洞；请尽快更新。

波及 Windows 10/11 及 Windows Server 2008-2022。收到特定的 IPv6 包组合可使 Windows 系统执行任意代码。如果无法安装修复程序，可以考虑禁用 IPv6。

msrc.microsoft.com/~

CVE: CVE-2024-38063
CVSS: 9.8 (2024)

#CVE #Windows

#PSA: 立即更新 GitLab！Ruby-SAML 未能正确验证 SAML 签名。

请升级至：
- GitLab: 17.3.3, 17.2.7, 17.1.8, 17.0.8, 16.11.10
- ruby-saml: 1.17.0, 1.12.3
- omniauth-saml: 2.2.0

- GHSA-jw9c-mfg7-9rx2
- about.gitlab.com/~

CVE: CVE-2024-45409
CVSS: 10 (Critical)

linksrc: https://t.me/billchenla/19542

#Security #SAML #GitLab

#PSA: 请立即升级 - Firefox 远程代码执行漏洞。

请升级至 Firefox 131.0.2、Firefox ESR 128.3.1 或 Firefox ESR 115.16.1。

mozilla.org/~

CVE: CVE-2024-9680
CVSS: (Critical)

#Firefox

#PSA: 请更新至 rsync 3.4.0；六个漏洞：攻击者可在匿名 rsync 服务器执行任意代码。

https://kb.cert.org/vuls/id/952657

linksrc: https://t.me/bupt_moe/2344

#CVE

#PSA: Next.js 中间件权限验证漏洞；请尽快更新。

影响 11-15 版本；修复于 14.2.25/15.2.3 版本；mitigation 亦可应用。

zeropath.com/~

cve: CVE-2025-29927
cvss: 9.1 (GitHub)
ghsa: GHSA-f82v-jwr5-mffw

linksrc: https://t.me/hyi0618/6574

#Security #Nextjs

#PSA: 文件列表项目 AList 疑似被接管。

5/15 起，一名 GitHub 新注册用户向 AList 文档 repo 推送 commit 更新文档页的赞助商列表、广告位置、联系方式及 Docker Hub 镜像名称等 [1]。

seealso: https://t.me/alist_news/85

1. gh:AlistGo/docs@7a727bb3

#AList

#PSA: sudo 本地权限提升漏洞。

请升级至 1.9.17p1 版本；1.9.14 （不含）之前版本不受影响。

Affected: [1.9.14, 1.9.17]
Fixed-On: 1.9.17p1
CVE: CVE-2025-32463
CVSS: 9.3 (NIST) / 7.8 (SUSE)

- https://www.sudo.ws/security/advisories/chroot_bug/
- https://nvd.nist.gov/vuln/detail/CVE-2025-32463

#CVE #sudo

#PSA: stardict-gtk 默认会将用户选中的文本以非 HTTPS 形式发送至有道/海词。

- stardict（星际译王）是一款历史悠久的跨平台词典软件。
- 词典软件的一个常见功能是「划词翻译」，即对用户选中的文本自动进行翻译。
- stardict-gtk 默认启用了此功能，因此会发送用户选中文本到有道/海词词典，但通过未加密的 HTTP 协议。
- 在 Wayland 下，stardict 默认无法获取其它应用的选中文本，因此此功能无法使用，也没有上述安全问题。
- 这个问题早在 2015 年就被报告 [1] ，但一直尚未被修复。

CVE: CVE-2025-55014
CVSS: 4.7 (MITRE)

lwn.net/~

1. https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=806960

#stardict

百度网盘客户端被发现远程命令执行漏洞；新版已经修复。

- 利用者需要访问用户 localhost 上开放的 HTTP 端点，因此漏洞可能被访问恶意页面的浏览器触发。
- 7.59.5.104 及之前版本受到影响。

https://linux.do/t/topic/929234

[感谢 夜坂雅 提供此消息。]

#PSA #Baidu

#PSA: debug、chalk 等 npm 包被骇：请检查受影响版本是否被使用。

- Qix- 是终端字符处理方面一些著名 npm 包的开发者，维护包括 ansi-styles、debug、chalk 等包。其中许多包每周下载量上亿次。
- 开发者被 2FA 恢复验证邮件钓鱼，使得骇客得以访问开发者的 npm 账号。
- 目前有 18 个包确认被注入恶意代码；截至现时，已知被注入恶意代码的版本均被移除。原文列出了这些包的列表。
- （ChatGPT 称）恶意代码的主要行为是替换 HTTP 等请求中的数字货币账户地址，使用户的付款等操作的接收者变为骇客提供的地址。

gh:debug-js/debug#1005

seealso: HackerNews:45169657
linksrc: https://t.me/bupt_moe/2516

#npm #security

#PSA: Discord 工单系统数据泄露。

- 根据官方消息，泄露信息包括提供给客服的 Discord 用户名、通讯记录及信用卡后四位等。
- 有用户收到 Discord 的通知邮件，称其提交的身份证件照片也被泄露。 [1]

discord.com/~

1. @troyhunt/~

#Discord

#PSA: React RSC 的 RCE 漏洞，影响 Next.js 等，受影响用户请立即更新。

- 受影响版本包括 React 19.0/19.1.0/19.1.1/19.2.0 及 Next.js 15-16（以及个别 14 canary 版本）。 [1][2]
- 受影响用户请更新至 React 19.0.1/19.1.2/19.2.1 及 Next.js 15.0.5/15.1.9/15.2.6/15.3.6/15.4.8/15.5.7/16.0.7。
- React Server DOM 的反序列化逻辑存在问题，可能导致远程代码执行 (RCE) 漏洞。
- Cloudflare WAF 已部署修复并默认启用。 [3]
- 应用程序如果只在客户端使用 React 而不涉及服务端 React，则不受影响。
- react-router 或 waku 等库的用户可能也会受到影响。用户可以检查应用程序是否使用了 react-server-dom-{webpack,parcel,turbopack} 包。


CVE: CVE-2025-55182 (React), CVE-2025-66478 (Next.js)
CVSS: 10.0/10 (Critical)

1. react.dev/~
2. GHSA-9qr9-h5gf-34mp
3. blog.cloudflare.com/~

#React #Nextjs

#PSA: 一些新的 RSC DoS/源码泄露漏洞；请尽快更新。

- 如果上周已经就之前的 RCE 漏洞对 React 等组件进行了更新，本周依旧需要继续更新。
- 如果就此漏洞更新到了 React 19.0.2/19.1.3/19.2.2，也依旧需要继续更新，因为这些版本的修复不完整。
- 请参考 [2] 了解需要更新到的版本。
- 漏洞是 React Server Side Components 相关；拒绝式服务攻击，以及服务端（服务端！）组件源码泄露。
- 与之前的漏洞不同，Next.js 13.3 至 14（含 13.3 及 14.x）也受此漏洞影响。
- react-router、waku 和几个其它 RSC 组件也受此漏洞影响。

CVE: CVE-2025-55184, CVE-2025-67779, CVE-2025-55183
CVSS: 最高者为 7.5

1. react.dev/~
2. react.dev/~

thread: /4791

#React #Nextjs