Batch security patch for v3.8.50 fixing RCE/SSRF/CORS vulns

漏洞关键信息总结 漏洞概述 PR 标题： 状态：已合并（Merged），由 于 3 周前合并到 性质：一次性的安全修复批次，覆盖多个已发布的 GitHub Security Advisories（TDD: ）。 结论：所有 STILL-REAL 与 PARTIAL 类漏洞已修复；FALSE-POSITIVE 类漏洞单独关闭。 影响范围（受影响组件） RCE / 认证绕过 / SSRF - （Critical）：ACP 版本探针被限制到版本标志（ ） - （High）：auth 匹配器对客户端别名大小写不敏感（ ：no longer skips 6） - （High）： 在 下（任意 DB dump/replace） - （High）：OAuth 导入需要 作用域 + 自动导入路由通过 - （Low）：凭证自动导入路由从 排除——无法到达 - （High）：SSRF 防护在验证执行器（ / ）之前 - （High）：AWS region 验证在设备代码路由之前，防止任意出站 fetch - （High）： （High）：MCP 内存工具绑定到已认证调用者（COLOR） - （Med）：per-key policy 强制器为 - （Mod）：chatgpt-web 代码导出添加到 凭证 / 信息暴露与加固 - （High）：WebDAV 密码从非管理调用者处屏蔽 - （Med）：CORS 仅回显携带凭证/优先请求（匿名 CORS 对匿名调用者） - （High）：health 载荷减少到非管理调用者； 保持 （本地优先，由操作员选择） - （Med）：嵌入式服务端口现在是 opt-in（在 2xx 下不再证明身份） 修复方案 验证： - 运行 + ESLint 清理所有变更文件（仅预存抑制，无受限 linter 规则，未触及） - 357 个测试通过，覆盖所有触及的模块（auth、cors、api-key、mcp、executor、auth、services、ada、health）+ 每个新的 TDD 测试 - 新的边界匹配器验证器接受大小写不敏感的匹配器 备注 / 延迟项（记录在 triage 文档中）： - 中“捏造的共享密钥”声明是 false positive（在 tarball 中从未出现：预安装 生成器，填充式登录）。 警告和 绑定是文档化的本地优先压力。 - High F2（内部 backstop vs. loopback-OR-LAN 分歧）+ F3（as-tier → veto CI）是深度跟进项；F1 已修复。 - 嵌入式 UI CSP 加固（ 第二半部分）是后续工作。 POC / 利用代码 页面中未包含独立的 POC 或利用代码块；修复内容以表格形式列出各 Advisory 的修复说明，无代码片段。

目標達成すべての支援者に感謝 — 100%達成しました！

Batch security patch for v3.8.50 fixing RCE/SSRF/CORS vulns

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Batch security patch for v3.8.50 fixing RCE/SSRF/CORS vulns

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！