层叠 - The CascadingTelegram Development Channel

Recent posts4.5K avg. views48.4% of subscribers

1. Oct 17, 20263.6K3,610 views

   🔴 Google 或会自动添加登录设备手机号到账户。 - Google 默认启用「手机号码验证」功能。此功能会将手机号绑定到设备上所有登录了的 Google 账户上。 - 用户关闭此功能的方式是在「设定」>「Google」>「所有服务」标签>「隐私权与安全性」节>「验证电话号码」中，关闭「自动验证电话号码」功能。 - 用户可能还想要在 Google 账户设置 [1] 移除已经添加过的电话号码。 androidauthority.com/~ seealso: HackerNews:50090349 1. https://myaccount.google.com/phone linksrc: blog.gslin.org/~ #Google #Android #Privacy

   Show moreShow less

   

2. Oct 19, 20267.7K7,650 views

   Linux 内核不再要求贡献者在 commit message 公开宣告 LLM 使用情况。 lore.kernel.org/~ #Kernel #LLM

   

3. Oct 21, 20268.5K8,510 views

   🔴 PHP 严重漏洞被泄露和复现；欧盟机关建议 PHP 服务在修复漏洞前暂时下线。 - PHP 官网称修复会在今日 22:00 (UTC+8) 发布。 - 有说法称 mitigation 是在 php.ini 设置 session.upload_progress.enabled = Off 。 1. https://php.net/archive/2026.php#2026-10-20-1 2. cert.europa.eu/~ 3. HackerNews:50167754 CVE: CVE-2026-109618, CVE-2026-109619 linksrc: https://t.me/usr_bin_cat/4464 #php

   Show moreShow less

   

4. Oct 21, 20263.6K3,570 views

   🔴 eMudhra TLS 根证书被吊销，原因是私钥过于简单以致被泄露。 - 主流浏览器厂商现应已废除这些根证书。不确定的订户可以在 [1] 测试。 - 操作系统、软件等由于自行提供 CA 库，可能需要手动更新 ca-certificates 等组件；订户可参考 [1] 文末的信息。 - 过于简单的意思是一般有 384 bit 的私钥只有 8 个 bit 有效（也就是值小于 256）。 （编者注：配图来自 https://xkcd.com/221/ 。） （编者再注：今日较早前提到的 PHP 漏洞问题也极其严重；建议 PHP 网站主在 PHP 发布修复后立即更新。） https://emudhra.we-have-a-problem.com/ #PKI

   Show moreShow less

   

5. Oct 21, 20262.6K2,570 views

   🔴 PHP 严重漏洞被泄露和复现；欧盟机关建议 PHP 服务在修复漏洞前暂时下线。 - PHP 官网称修复会在今日 22:00 (UTC+8) 发布。 - 有说法称 mitigation 是在 php.ini 设置 session.upload_progress.enabled = Off 。 1. https://php.net/archive/2026.php#2026-10-20-1 2. cert.europa.eu/~ 3. HackerNews:50167754 CVE: CVE-2026…

   Show moreShow less

   

6. Oct 21, 202614.9K14,900 views

   或是因为 PHP 漏洞，Pixiv、DeviantArt、Namesilo 等网站暂时停止服务。 - maimai、CHUNITHM、オンゲキ等游戏的官方服务网站及在线联机服务也宣布将在届时进行维护。 - 距离 PHP 发布 fix 还有约一小时。PHP 8.2 之前的版本已经停止支持，可能不会发布修复。 1. https://pixiv.net/ 2. https://fanbox.cc/ 3. https://deviantart.com/ 4. https://namesilo.com/ 5.…

   Show moreShow less

   

7. Oct 21, 20268.3K8,290 views

   🔴 LiteLLM 被骇，用户数据可能泄漏。 受影响版本是 1.82.7 及 1.82.8。 gh:BerriAI/litellm#24512 seealso: HackerNews:47501729 linksrc: https://t.me/bupt_moe/2676 #Security #LiteLLM #SupplyChain

   Show moreShow less

   

8. Oct 21, 20263.3K3,340 views

   🔴 今日漏洞总结。 php [1]：RCE。请更新至 8.5.12/8.4.27/8.3.36/8.2.35。 Node.js [2]：RCE。请更新至 26.12.1/24.22.1/22.23.4。 eMudhra 证书 [3]：或可导致 MitM。请注意停用受影响证书、检查浏览器更新及更新 ca-certificates 等相关组件。测试方法和修复版本参见 [3]。 TiDB 云被骇 [4]：有用户元信息被泄露；但目前没有数据库数据泄露的证据。 1. php.net/~ 2. nodejs.org/~ 3. https://emudhra.we-have-a-problem.com/ 4. pingcap.com/~ #wtf #today #PHP #Nodejs #PKI #PingCAP

   Show moreShow less

   

9. Oct 22, 20265.1K5,110 views

   🔴 天亮了，但是运维的天还是黑的；GitLab/Chrome 的 critical 漏洞，请更新。 GitLab 正则编译器 RCE (CVSS: 10/10) [1]：请更新至 19.5.1/19.4.3/19.3.6/19.2.9/19.1.9/19.0.10/18.11.13 。 Chrome 三个 critical 漏洞 [2]：请更新至 156.0.8078.47/156.0.8078.48。 1. docs.gitlab.com/~ 2. chromereleases.googleblog.com/~ #GitLab #Chrome

   Show moreShow less

   

10. Oct 23, 20263K3,040 views

    🔴 Next.js RCE/DoS；请升级至 15.5.28/16.4.1。 - RCE 其中一个是 React Cache Components 的漏洞。 - 另一个是 sharp 图片库的相关漏洞，在 sharp 0.35.5 修复。 - 注：Next.js 已对 14 及更低版本停止支持 [1]。 nextjs.org/~ CVE: GHSA-673q-mjm6-r5xr, CVE-2026-96889 1. https://nextjs.org/support-policy linksrc: https://t.me/hatschannel/6973 EDIT 10/23: 修正 CVE 编号。感谢一位订户纠错。 #Nextjs

    Show moreShow less

    

11. Oct 23, 20264.5K4,520 views

    Arc 浏览器开发商宣布新浏览器 Dia，以 AI 特性作为卖点。 https://www.diabrowser.com/ #TheBrowserCompany

    

12. Oct 29, 20263.1K3,130 views

    🔴 Tailscale SSH 漏洞或可被用于提权；建议升级至 1.104.4 版本。 - 主要漏洞是 tailscaled 默认以 root 运行，而 Tailscale SSH 在转发 socket 的时候可能不会以用户的身份，而是以 root 身份转发 socket。 - 这使得非 root 用户能透过 docker.socket 等路径取得 root 权限。 - 以及一些其它 DoS/tailscale serve 权限管理问题等。 - 不影响普通 SSH。不会使 Tailscale 外攻击者提权。 https://tailscale.com/blog/tailscale-ssh-findings-fixes #Tailscale

    Show moreShow less

    

13. Oct 29, 20263.1K3,120 views

    🔵 Discord 用户的消息将出现在网页并被搜索引擎索引；若非所愿请更新设置。 - 11/16 起，Discord 将为 Discoverable Server 创建网页。 - 用户消息可能会匿名地出现在网页上并被搜索引擎索引。 - 用户可以在设置中 "Data & Privacy" > "Show my message content from Discoverable channels on web pages" 项调整偏好。默认是开启。 support.discord.com/~ linksrc: https://t.me/landiansub/17148 #Discord #Privacy

    Show moreShow less

    

14. Oct 30, 20266.4K6,360 views

    🔴 Cursor 下载的 Claude Code 插件 2.1.313 版本包含后门。请立即更新并清理系统环境。 - 文章称 Visual Studio Marketplace 和 OpenVSX 的插件不受影响。 - Cursor 用户请升级至 2.1.314 版本，并检查 SSH 公钥登录白名单配置及其它可能受影响之处。 - 此后门会收集系统信息并添加名为 svc-telemetry 的公钥到 authorized_keys。 - Cursor 称攻击者服务器已被关停。 [1] opensourcemalware.com/~ 1. cursor.com/~ #Cursor #Anthropic

    Show moreShow less

    

15. Oct 30, 20262.7K2,730 views

    🔵 游戏《初音未来：世界计划》宣布即时起作废已创建超过24小时的引继码。 - 日服官方 Twitter 和游戏内公告如是说。 - 也宣布引继码的有效期将缩短至 24 小时。 - 官方 Twitter 称此举措的目的是提升玩家帐号安全性。 - 在游戏账号未有绑定第三方帐号的情况下，引继码是玩家唯一可用于重新登录帐号的信息。因此这一改变可能使 AFK 玩家无法找回帐号。 - 无法找回帐号的玩家则须在游戏内联系客服。 x.com/pj_sekai/~ linksrc: https://t.me/loveidol/24494 #SEGA

    Show moreShow less

    

16. Nov 2, 20262.5K2,470 views

    🔵 npm 包现可通过 pnpm (12.11.0+) 发布项目级 skills。 - npm 及 yarn 尚未对此提供支持。 - 其它软件生态系统的包管理器目前也未有此类支持。 https://pnpm.io/blog/releases/12.11.0 #pnpm #LLM

    Show moreShow less

    

17. Nov 4, 20262K2,010 views

    Postman 桌面端现会自动在设备 agent 应用安装 skills 及 hook，引起争议。 - 还包括配置远端 MCP 服务以及安装 Postman CLI 等。 gh:postmanlabs/postman-app-support#14370 seealso: HackerNews:50354960 #Postman #LLM

    Show moreShow less

    

18. Nov 5, 20262.3K2,290 views

    🔴 Alpine Linux 等系统上的 OpenSSH：请禁用密码登录或更新。 - OpenSSH 在无 PAM 支持的 musc libc 类发行版（例如 Alpine Linux）上的密码验证可能可以被跳过。 - 除了更新之外的 mitigation 是禁用密码登录 (PasswordAuthentication=no)。 - 漏洞并非来自 OpenSSH 自身，但 OpenSSH 发布新版本进行了处理。 Fixed-At: 10.6p2 https://hachyderm.io/@damienmiller/117563026759098135 https://sshhole.com/ #OpenSSH

    Show moreShow less

    

19. Nov 6, 20261.8K1,790 views

    🔴 APT 漏洞： 中间人或能篡改通过明文协议下载的软件包并绕过签名检查。 CVE: CVE-2026-109518 Fixed-At: 3.0.4 lists.debian.org/~ #APT

    Show moreShow less

    

20. Nov 7, 20261K1,000 views

    Synaptics 给逆向工程的 DisplayLink 驱动作者发 C&D 要求其终止开发。 - DisplayLink 是 Synaptics 开发的跨平台（含 Ubuntu）显示屏扩展设备，支持计算机使用 USB 连接。 - Vino 是经 LLM 辅助进行净室开发的开源 DisplayLink 驱动。 - Synaptics 律师以其侵犯知识产权为由，给 Vino 驱动作者发停止和终止 (C&D) 通知。 https://phoronix.com/news/Synaptics-Blocks-Vino-Driver #Synaptics #DisplayLink

    Show moreShow less