Vibe News

压缩库 Brotli 的一个漏洞，可能让处理恶意压缩数据的程序被远程执行代码。OpenAI 在红队测试中发现它，并向项目和下游软件披露。按官方说明，攻击者不需要先注册账号；接收压缩输入的服务器，以及接收恶意响应的客户端，都可能受影响。这个案例还暴露了修复与发版之间的时间差：根因二月就已在源码里修正，当时却没被识别为安全漏洞，也没有更新的正式版本。Brotli 被集成进其他软件，库本身发版后，下游还要纳入更新，用户也要升级对应软件。官方称相关项目已经或正在发布安全更新。