资讯
共 135 条更新于 2026-11-10 07:45RSS
10 月 24 日周六
10 月 23 日周五
Node.js 的 Brotli 解码器可被恶意数据触发远程代码执行，24.22.1 已修复
漏洞编号 CVE-2026-111497，Node.js 在 10 月 21 日披露并发布修复。研究人员在官方 24.22.0 的 Linux arm64 镜像上演示了执行攻击者提供的代码。
PHP2Shell 补丁已发：利用尝试达数百万次，目前没有成功案例
两个可未认证远程执行代码的 PHP 漏洞（CVE-2026-109618、CVE-2026-109619，CVSS 9.2）已修复。
TypeScript 7.1 Beta 发布：content mapper 让 markdown、vue 等非 TS 文件也有类型
官方说法是这一版比 7.0 更快、更省内存；安装命令是 npm install -D typescript@beta，仍是 beta，不建议急着上生产。
Notion 里的 AI 可以直接用 ChatGPT 订阅：Plus、Pro、Go 都行
Notion 已上线与 ChatGPT 订阅的联动：关联账号后在模型选择里挑 GPT 模型，就能直接用 ChatGPT 的套餐额度。
Claude API 出了 2026-10-21 版：temperature 等三个采样参数被删
这是 2023 年以来 Claude API 第一个正式版本号，改动集中在采样控制、消息格式、SDK 和鉴权。
Hugging Face 开源 14B DNA 模型 Carbon-X：直接读原始 DNA，单卡可跑
Carbon-X 是一个 14.8B 参数的开放模型，输入原始 DNA 序列，用英文回答并解释推理过程，权重与代码均公开。
10 月 22 日周四
10 月 21 日周三
ccx：Claude Code 撞上 5 小时额度，任务可以交给 Codex 接着跑
开源项目 ccx（MIT，纯本地）把 Claude Code 的一个会话和 Codex 的一个线程配成一对，双向同步上下文，切换时不用重讲项目背景。
Langchain-Chatchat 的 /tools/call 无需鉴权，可直接执行 shell 命令（CVSS 9.8）
CVE-2026-75128：0.3.1.3 及之前版本的 /tools/call 不需要认证即可按名字调用任意已注册工具，而 shell 工具默认常驻，等同于远程命令执行，攻击路径完全绕开模型。
Mistral 发布 Voxtral 3：转写、实时转写与语音合成四款模型
语音套件 Voxtral 3 含三款转写模型和一款语音合成模型，通过 API 调用。
8 张 eMudhra 中间证书私钥泄露：可伪造任意域名证书，Cloudflare 连夜打补丁
10 月 19 日 17:00 UTC，Cloudflare 确认 8 张 eMudhra 中间证书的私钥被攻破，密钥本身偏弱，攻击者能为任意域名签发伪造证书。目前未发现在其服务上被实际利用。