资讯

php mysql shell go vue css api接口对接支付接口对接

Zabbix 8.0 升级踩点：Allow list 空着从「放行」变「全禁」，HTTP 模板默认校验 TLS

Zabbix 8.0 升级踩点：Allow list 空着从「放行」变「全禁」，HTTP 模板默认校验 TLS
2026-11-07 20:04:29
Zabbix 8.0.0 从 7.4.x 升级前必须核对的破坏性变更：ES 低于 8 直接起不来、MySQL 门槛抬到 8.4、roles 的空 Allow list 语义反转、HTTP 模板与 webhook 默认校验 TLS、一批宏被移除。
Zabbix 监控运维升级 OpenTelemetry

Go 1.24 默认用 MPTCP 监听：Linux 内核 CVE-2026-98432 的排查与缓解

Go 1.24 默认用 MPTCP 监听：Linux 内核 CVE-2026-98432 的排查与缓解
2026-11-03 21:04:12
Linux 内核 CVE-2026-98432（IPv4 TCP options RCU UAF，CVSS 9.8）的利用前提是暴露 MPTCP 监听，而 Go 1.24 起把 multipathtcp 默认值改成 2，Go 服务在 Linux 上默认就是 MPTCP 监听。给出 ss -Mltnp / go version -m 排查、GODEBUG 与 sysctl 缓解，以及为什么关 MPTCP 不算修复。
Go Linux 安全

Nginx UI 六个 CVE 同一根因：AuthRequired 只验 JWT，不验会话从哪来

Nginx UI 六个 CVE 同一根因：AuthRequired 只验 JWT，不验会话从哪来
2026-11-01 21:04:24
Nginx UI 2.5.0 一次修掉六个高危 CVE（passkey 账号 2FA 被绕过、CSRF、备份软链注入、node token 跨节点、陈旧 JWT 提权、升级包 digest），根因都是 AuthRequired 只验 JWT、不校验 RequireSecureSession。附代码片段、PoC 响应、升级与加固清单。
Nginx 安全运维认证

golang.org/x/net v0.62.0 修的两个 html 漏洞：文本节点合并的 O(n²) 与 raw text 渲染的命名空间判断

golang.org/x/net v0.62.0 修的两个 html 漏洞：文本节点合并的 O(n²) 与 raw text 渲染的命名空间判断
2026-11-01 21:03:15
golang.org/x/net v0.62.0 修了两个 html 包漏洞：文本节点合并时用字符串拼接导致 O(n²) 分配（CVE-2026-78661），以及 raw text 渲染只看最近一层命名空间导致解析往返不一致（CVE-2026-97045）。附 go list -m / govulncheck 自查与升级命令。
Go 安全 html 依赖升级

Nuxt 4.6.3：修掉三个 dev server 漏洞，外加 dot segment 路径处理

Nuxt 4.6.3：修掉三个 dev server 漏洞，外加 dot segment 路径处理
2026-11-01 21:01:39
Nuxt 4.6.3 的五个安全修复里，三个落在 Vite dev server 上：错误报告可被用来读文件、dev 输出目录可被访问、dev 下发送自动生成的 app secret；另有请求路径 dot segment 处理与 island 重定向规则。附 GHSA 编号、版本要求与升级自查步骤。
Nuxt Vue 前端安全 Vite

containerd 2.4.2 补丁说明：三个 CVE、修复版本矩阵与升级后必须手工清理的 checkpoint 挂载

containerd 2.4.2 补丁说明：三个 CVE、修复版本矩阵与升级后必须手工清理的 checkpoint 挂载
2026-11-01 21:01:39
containerd 2.4.2（2026-10-13）修掉三个漏洞：畸形 manifest digest 打崩 daemon、层数据不限大小写满磁盘、伪造 Content-Length 打崩并行取层；另有 checkpoint restore 失败泄漏 mount 与 pinned snapshot，升级后要手工卸载 /tmp/checkpoint* 才能回收。附修复版本矩阵与优先顺序。
containerd Kubernetes 容器安全运维

Nacos 3.3.0 升级笔记：Client API 鉴权默认开启，插件配置 key 集体改名

Nacos 3.3.0 升级笔记：Client API 鉴权默认开启，插件配置 key 集体改名
2026-11-01 20:03:57
Nacos 3.3.0 把 nacos.core.auth.enabled 的默认值改成 true，依赖默认配置的客户端升级后会鉴权失败；插件配置 key 统一成 nacos.plugin.{pluginType}.{pluginName}.*，且新 key 的空白值也会覆盖旧 key。本文整理完整 key 映射表、A2A 迁移必须设 AUTO、旧导入接口返回 410、Java 17 与 Spring Boot 4.0.6 等升级检查点。
Nacos Spring Boot 服务发现运维

Caddy 2.11.7：修掉 2.11.6 默认超时引发的 panic 与流截断，新增 Incremental 头

Caddy 2.11.7：修掉 2.11.6 默认超时引发的 panic 与流截断，新增 Incremental 头
2026-11-01 20:02:38
Caddy 2.11.6 为防慢速攻击引入默认 idle 读写超时后，HTTP/2 上代理读完请求体可能出现 nil pointer panic，POST 打开的 SSE 在读完 body 后正好 60 秒被截断，静默 SSE 也会被 write_idle 重置。2.11.7 修掉这三处回归，并加入 RFC 10036 的 Incremental 头替代 nginx 的 X-Accel-Buffering，附升级判断清单。
Caddy 反向代理 SSE 运维

Traefik ForwardAuth 复用认证连接池：NTLM/Negotiate 身份会串到别的客户端

Traefik ForwardAuth 复用认证连接池：NTLM/Negotiate 身份会串到别的客户端
2026-10-31 21:08:42
GHSA-hrpp-p4fc-wwf8：Traefik 的 ForwardAuth 把认证子请求放进所有客户端共享的连接池，遇到 IIS Windows Authentication 这类连接绑定的 NTLM/Negotiate 时，已认证连接会被复用，未认证客户端拿到受害者身份并经 authResponseHeaders 打进后端。文中给出受影响版本、与四个旧 GHSA 的区别、自查项与临时绕过方式。
运维反向代理安全 Traefik 认证

CVE-2026-98432 叠加 Go 1.24 的 MPTCP 默认：先打内核补丁，GODEBUG 只能当临时挡板

CVE-2026-98432 叠加 Go 1.24 的 MPTCP 默认：先打内核补丁，GODEBUG 只能当临时挡板
2026-10-31 21:02:20
Linux IPv4 的 use-after-free（CVE-2026-98432，CVSS 9.8）在 Anthropic 的利用里需要 MPTCP listener，而 Go 1.24 起 listener 默认就开 MPTCP。文中拆解释放时序、列出发行版修复版本，给出 ss -M / ip mptcp 自查、GODEBUG=multipathtcp=0 与 net.mptcp.enabled=0 两种临时挡板，以及为什么它们都不算完整修复。
Go Linux 安全内核网络

Redis 8.12 RC1：集合成员级 TTL、BLESS 防淘汰与压缩位图进核心

Redis 8.12 RC1：集合成员级 TTL、BLESS 防淘汰与压缩位图进核心
2026-10-30 21:10:26
Redis 8.12 RC1 带来集合成员级 TTL（SEXPIRE/STTL 一族）、用 BLESS 保护关键 key 不被淘汰、redis-roaring 合入核心并新增 BITRANGEINTARRAY，以及 CLUSTER MIGRATION STATUS 两阶段进度。逐条说明用法、与 key 级过期的区别和风险，并附安全修复与 bug 修复选摘。
Redis 新版本缓存运维

curl 8.23.0 一次修复 24 个 CVE：SMB 协议移除、符号改名与 --no-clobber 改动

curl 8.23.0 一次修复 24 个 CVE：SMB 协议移除、符号改名与 --no-clobber 改动
2026-10-30 21:07:06
curl 8.23.0 一次修了 24 个 CVE，同时彻底移除 SMB/SMBs 协议支持，CURL_GLOBAL_WIN32 更名为 CURL_GLOBAL_WINSOCK，--no-clobber 的编号位置也改了。给出脚本与镜像里固定版本的重建清单、用 smbclient 替代的写法，以及 curl -V 自查协议列表的方法。
curl 安全公告 Shell 运维

PHP 8.5.11 安全修复：SAN 不匹配回退 CN、FPM IPv6 ACL 绕过与 HTTP wrapper 凭据泄露

PHP 8.5.11 安全修复：SAN 不匹配回退 CN、FPM IPv6 ACL 绕过与 HTTP wrapper 凭据泄露
2026-10-30 21:04:20
PHP 8.5.11 修了一批安全条目：OpenSSL 在 SAN 不匹配后回退比对 CN（CVE-2026-91769）、FPM 的 IPv6 白名单因前缀比较不完整可被绕过（CVE-2026-91768）、HTTP stream wrapper 跨源重定向泄露凭据（CVE-2026-91766）。逐项给出影响面、grep/openssl 自查命令，以及升级后行为变化。
PHP 安全公告 OpenSSL FPM

Node.js 10 月安全版本：10 个 CVE、4 个 high，先查 dns.resolve 与 TLS 的 IP 校验

Node.js 10 月安全版本：10 个 CVE、4 个 high，先查 dns.resolve 与 TLS 的 IP 校验
2026-10-30 20:02:46
Node.js 2026-10-21 安全版本覆盖 26.12.1 / 24.22.1 / 22.23.4，含 10 个 CVE，其中 4 个 high：dns.resolve 对含 NUL 主机名静默截断、全角数字与前导零 IP 绕过 tls.checkServerIdentity 的 IP SAN 校验、Brotli 解码器越界写可 RCE。文内按严重度给出触发条件、受影响版本，以及可直接跑的 node -p 自查命令，并说明 26.13.0 只是转入 LTS。
Node.js 安全 TLS 运维升级

Go 首次动用 URGENT track：7.5 小时内发版移除 eMudhra 中间证书信任

Go 首次动用 URGENT track：7.5 小时内发版移除 eMudhra 中间证书信任
2026-10-30 20:01:24
eMudhra 中间证书私钥可被微秒级恢复，Mozilla 先把 8 张证书加进 OneCRL。Go 团队 7.5 小时内发布 1.27.3 / 1.26.10，直接在标准库验证器里移除信任，这也是 Go 第一次启用 URGENT track。文内保留完整时间线、Linux 缺撤销机制的原因，以及 go version -m 与 govulncheck -mode=binary 的落地自查命令。
Go 安全发布 TLS 证书运维

PgBouncer 1.26.1：知道一个 SCRAM 用户密码就能登成超级用户，1.26.0 还静默改了 search_path 的默认跟踪

PgBouncer 1.26.1：知道一个 SCRAM 用户密码就能登成超级用户，1.26.0 还静默改了 search_path 的默认跟踪
2026-10-28 20:02:50
PgBouncer 1.26.1 修了三个 CVE：1.17.0–1.26.0 的 SCRAM 认证绕过（知道一个用户密码即可登成任意 SCRAM 用户含超管）、两处未认证可触发的死循环 DoS；同时修了 1.26.0 引入的 search_path 跟踪导致 ignore_startup_parameters 静默失效。附版本、配置项与升级前脚本的检查步骤。
PgBouncer PostgreSQL 安全修复运维

CA 中间证书私钥泄漏：Go 把黑名单编进 crypto/x509，旧二进制必须重新编译

CA 中间证书私钥泄漏：Go 把黑名单编进 crypto/x509，旧二进制必须重新编译
2026-10-27 20:04:24
Go 1.27.3 / 1.26.10 只带一个安全修复：因某 CA 中间证书私钥泄漏（CVE-2026-111943），crypto/x509 的 Verify 会过滤掉含这批中间证书的链。黑名单编在二进制里，不是改系统根证书库，所以容器镜像和静态二进制必须重新编译。文中给出 go version -m、govulncheck -mode=binary 的核对命令，以及 Prometheus 镜像重建的做法。
Go TLS 安全证书 x509

PocketBase v0.40.6：缩略图有了像素上限，更新命令也不再走 GitHub

PocketBase v0.40.6：缩略图有了像素上限，更新命令也不再走 GitHub
2026-10-26 21:34:24
PocketBase v0.40.6 把缩略图生成的像素上限做成全局限制（默认 250<<20，PB_THUMBS_MAX_SOURCE_PIXELS 可调），根因是 Go image.Decode 缺少解码选项；同时更新命令改为从 ganigeorgiev.com 拉版本，这很可能是 GitHub 上最后一个 release。附 CI 与上传入口的改动建议。
Go PocketBase 后端发布说明

mod_php 默认配置就能未授权 RCE：PHP 8.5.12 / 8.4.27 修的两个洞

mod_php 默认配置就能未授权 RCE：PHP 8.5.12 / 8.4.27 修的两个洞
2026-10-26 20:02:35
PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 修掉两个可未认证利用的 RCE：CVE-2026-109618 是 memory_limit 触顶时留下的半初始化数据被当成有效数据，mod_php 默认配置下可复现；CVE-2026-109619 是致命错误把内部指针指向上一请求的内存，同 worker 后续请求踩到 UAF。附升级顺序、CVE/GHSA 编号，以及披露被 Chainguard 提前六小时打破的经过。
PHP 安全漏洞运维 mod_php

OpenSSH 10.6 关闭 LZ77 字典编码：压缩还在，但不再能当保密手段

OpenSSH 10.6 关闭 LZ77 字典编码：压缩还在，但不再能当保密手段
2026-10-25 21:07:23
OpenSSH 10.6 默认关闭 LZ77 字典编码，以缓解多路复用通道共享压缩上下文导致的明文恢复侧信道。本文说明攻击机制、Compression 选项现在还剩什么、命令行用户名拒绝 $ 与 \ 的影响面，以及 scp -R 弃用后的迁移点。
OpenSSH 安全运维 SSH

nginx 1.30.6 与 1.31.7 修复 5 个 CVE：`alias`+`rewrite`、AIO+SSI 两类配置需要优先自查

nginx 1.30.6 与 1.31.7 修复 5 个 CVE：`alias`+`rewrite`、AIO+SSI 两类配置需要优先自查
2026-10-25 21:04:03
nginx-1.30.6 与 1.31.7 修复 5 个 CVE，其中 3 个 CVSS 9.2。本文给出受影响版本区间、F5 公告里的具体触发配置（alias+rewrite+$request_filename、map 正则捕获前置引用、AIO+SSI）、三种临时缓解写法，以及哪些默认配置可以先排期升级。
nginx 安全运维 CVE

FrankenPHP 上生产：worker 模式、嵌入二进制，以及它省掉的那几层

FrankenPHP 上生产：worker 模式、嵌入二进制，以及它省掉的那几层
2026-10-23 20:01:38
FrankenPHP 把 PHP 嵌进 Caddy 进程，省掉 Nginx + PHP-FPM 的 FastCGI 与双生命周期。讲清 worker 模式怎么配、吞吐提升与全局状态残留的代价、embed 静态二进制的密钥风险、HTTP/3 与 Mercure，以及上线前必须设的 max_requests 与 opcache 参数。
FrankenPHP PHP Caddy Laravel 部署

Vite @fs 越界读文件：safeModulePaths 在 fs.allow 之前被信任

Vite @fs 越界读文件：safeModulePaths 在 fs.allow 之前被信任
2026-10-21 21:03:32
Vite 开发服务器 GHSA-rq7h-c2jc-7f22：项目内 import 路径与宿主机绝对路径重合时，server.fs.allow 之外的文件会经 /@fs 返回。本文拆解 safeModulePaths 先于 fs.allow 被信任的成因，给出 PoC、受影响版本区间、修补版本与三层规避。
Vite 前端安全漏洞排查

nginx 1.30.6 / 1.31.7 修复五个配置相关漏洞：先用 nginx -T 自查，再决定升级顺序

nginx 1.30.6 / 1.31.7 修复五个配置相关漏洞：先用 nginx -T 自查，再决定升级顺序
2026-10-21 21:02:17
nginx 1.30.6 与 1.31.7 修的五个漏洞全部依赖特定配置：alias 加 rewrite、map 正则捕获、AIO 加 SSI、HTTP/3 请求体、TLS 会话票据。给出 nginx -T 的逐项 grep 自查命令、每个 CVE 的暴露条件与临时缓解，以及只有 1.30/1.31 分支拿到修复这一限制。
nginx 漏洞排查运维 CVE

大家都在搜索什么？

devops 易支付一个官网+多少钱统一接受回调统一回调 python sub node 宝塔日志 mysql shell ElasticSearch css vue api接口对接 2025 支付接口对接 go php php回调