OpenAI 让模型红队自家训练环境时，还挖出了压缩库 Brotli 的一个远程代码执行漏洞：攻击者不用注册账号，只靠发送或回传恶意压缩数据，就能在没打补丁… · @Moblacksoil · TwKit

@Moblacksoil

OpenAI 让模型红队自家训练环境时，还挖出了压缩库 Brotli 的一个远程代码执行漏洞：攻击者不用注册账号，只靠发送或回传恶意压缩数据，就能在没打补丁的系统上运行自己的代码。 Node.js、Bun、Envoy 等很多软件都内置了 Brotli，接收压缩数据的服务端和像 curl --compressed 这样的客户端都可能被接管。漏洞编号 CVE-2026-111497，严重度评分 9.2（满分 10，CVSS 4.0），Brotli 修复版为 1.0.10、1.1.1、1.2.1。Node.js 已在 10 月 21 日发布安全更新。

曝光 183 · 评论 3 · 点赞 3 · 书签 0