每早八时出报
AI · 模型 · 产业
新闻枢纽 · 日报
中文 AI 资讯
NEWSHUB DAILY
Apache Syncope 多个严重安全问题需要立刻处理：包括 CVE-2026-110535（重要，AuthProfile 可被非管理员滥用）、CVE-2026-113511（越权绕过域边界）、CVE-2026-113687（必须升级的 RCE，Groovy 沙箱隔离失效）以及 CVE-2026-109083（JUEL 触发的 REST 导入导致可利用 RCE）。同时还有审计事件搜索 SQL 注入（CVE-2026-77051 不完整修复）与相关版本影响面覆盖多个 3.0.x/4.0.x/4.1.x 区间。若你在身份治理链路上使用 Syncope，请按公告优先升级到安全版本并核查暴露的功能路径。
16:36Homebrew（GitHub Releases）
Homebrew v7.0.12 版本发布。安全方面，检测并缓解 eMudhra 证书信任问题，防止潜在风险。功能上，新增 MCP（Model Context Protocol）支持以处理空参数和失败命令；新增生成公式 Feed 的命令；允许重置 Git 远程仓库为默认值；在静默模式下搜索时抑制头部信息。优化与维护包括：切换用户时保留工作目录与 sudo 路由；AppImage cask 添加桌面入口；bundle 拒绝失败的 uv inventories 和扩展清单；
12:35oss-security（开源安全披露）
C-Kermit 近期代码审计发现多项安全漏洞，部分可导致远程代码执行（RCE）。已发布 3 份安全公告并申请 CVE。主要风险包括：1. 在与恶意对端交互时触发 RCE；2. 认证绕过；3. TLS 证书伪造。这些漏洞涉及核心通信协议处理逻辑，攻击者可能利用恶意构造的数据包在目标系统上执行任意命令或伪装合法服务器。由于涉及 RCE 和认证/加密机制失效，建议用户立即检查版本并升级至修复版本以消除风险。
19:05pi coding agent（GitHub Releases）
Pi Coding Agent v1.5.0 引入多项功能与安全修复，核心变更包括：工具参数校验迁移至 @earendil-works/pi-schema，TypeBox 特有特性（如 Type.Refine、BigInt）不再适用，MCP 工具现执行统一类型强制转换；默认 OpenAI 模型由 gpt-5.5 升级为 gpt-6.1-sol。新增 GPT-6.1 Terra 支持及 500K 上下文窗口，优化流式响应性能，支持自定义自更新命令。
08:00Claude Platform 发布说明
Anthropic在11月2日更新中宣布，Messages API新增消息线程功能，需通过特定beta header启用。该特性将会话状态保留在服务器端，客户端后续请求仅需发送新消息，从而显著降低长对话与Agent循环场景下的首字生成时间。线程在最后一次请求后5分钟过期，并在最后使用后不超过1小时被删除。此功能已覆盖Claude API、AWS平台版、Google Cloud托管模型及Microsoft Foundry。
02:23oss-security（开源安全披露）
Apache Syncope 存在不当权限管理漏洞（CVE-2026-110535），严重程度为 important。受影响版本包括 3.0.12 至 3.0.16、4.0.0-M0 至 4.0.8 以及 4.1.0-M0 至 4.1.3。攻击者可通过 AuthProfile 的自服务更新功能，在非管理员权限下配置 WA 代理身份验证的模拟（impersonation）行为，从而实现权限提升。该漏洞允许普通用户绕过正常的权限控制，获取更高权限或执行未授权操作。建议相关版本的用户尽快升级至安全版本以修复此问题。
23:14GitHub Changelog
GitHub 宣布自 2026 年 12 月 2 日起，所有公共仓库的 GitHub Actions 将默认阻断 pull_request_target 事件触发器。此举旨在降低执行不受信任代码时泄露密钥的风险。在正式强制执行前，将于 11 月 9 日和 16 日进行两次临时演练（Brownout），期间受影响的流程将失败并报错。私有和内部仓库不受影响。用户需通过 Insights 检查受影响的工作流，并在 Actions 事件策略中显式允许该触发器或保持默认阻断状态。
08:00Cloudflare Workers（Changelog）
自 2026 年 11 月 17 日起，兼容性日期为 2026-11-17 或之后的 JavaScript Workers 将默认使用新的模块注册表（module registry），不再需要 new_module_registry 标志。新注册表提升了与 JavaScript 标准及 Node.js 的兼容性，支持在 Node.js 兼容模式下使用 require() 加载 ES 模块，但要求模块及其依赖不得使用顶层 await。同时新增 import.meta.resolve 等 API 以获取模块信息。
02:25oss-security（开源安全披露）
Apache Syncope 存在授权绕过漏洞（CVE-2026-113511），影响 3.0.0-M0 至 3.0.16、4.0.0-M0 至 4.0.8 及 4.1.0-M0 至 4.1.3 版本。攻击者利用用户可控键值，使委派管理员能够在未获得目标权限的情况下，将 Realm 子树跨管理边界重新定位。该漏洞允许越权更新域配置，属于严重安全问题。
18:11vLLM（GitHub Releases）
vLLM v0.33.0 正式发布，核心变更包括底层依赖升级与破坏性接口移除。PyTorch 已升级至 2.14.0，CUDA 支持从 12.9 切换至 13.0，不再发布 CUDA 12.9 的 wheels 与镜像。破坏性变更方面，Medusa 和 MLP 推测解码器已被彻底移除，旧的 Ray compiled-graph 执行器也已下线；--mamba-cache-mode、LM Format Enforcer 及 --ir-op-priority 标记被弃用。
02:27oss-security（开源安全披露）
Apache 披露了 Syncope 中的严重远程代码执行漏洞（CVE-2026-113687）。该漏洞源于 Groovy 安全沙箱隔离不当，拥有 Implementations 权限的管理员可创建恶意 Groovy 类并在独立线程中运行不受信任的代码，从而绕过沙箱限制。受影响版本包括 3.0.0-M0 至 3.0.16、4.0.0-M0 至 4.0.8 以及 4.1.0-M0 至 4.1.3。此漏洞允许攻击者获得服务器控制权，属于必须立即升级的可利用安全修复。
23:01Docker Compose（GitHub Releases）
v5.7.0 对作为库调用的 api.Compose.Up 引入重大破坏性变更。Create 和 Start 阶段合并为单一计划，选项验证更严格（如 Start.Wait 与 Start.Attach 组合现报错），忽略 StartOptions.Project，且不再在阶段间重新观察容器状态。此外，DownOptions.Images 改为强类型，多个内部辅助函数移至 internal 包导致导出失效。CLI 行为保持不变。功能方面，up -d 和交互式 up 均使用统一执行计划；
02:29oss-security（开源安全披露）
Apache Syncope 在审计事件搜索功能中存在 SQL 注入漏洞。攻击者可通过未正确清理的 opEvent 参数执行任意 SQL 命令。该问题被视为 CVE-2026-77051 的不完整修复，拥有适当权限的管理员可利用此缺陷实现 SQL 注入。受影响版本包括 3.0.x、4.0.x 及 4.1.x 系列。
02:21oss-security（开源安全披露）
Apache Syncope 存在严重的安全漏洞（CVE-2026-109083），允许攻击者通过 REST API 导入包含 JUEL 表达式的任意 BPMN 流程定义并启动，从而触发远程代码执行。受影响版本包括 3.0.0-M0 至 3.0.16、4.0.0-M0 至 4.0.8 以及 4.1.0 至 4.1.3。该漏洞被评定为中等严重程度，但实际可利用性极高，涉及核心身份治理功能的隔离失效。相关维护人员应立即升级至安全版本以消除风险。
01:34oss-security（开源安全披露）
libexpat 2.10.0 版本于今日发布，旨在修复四项安全漏洞。其中包括 CVE-2026-113351，该漏洞涉及通过 XML_ParserReset 引发的拒绝服务问题；以及 CVE-2026-115506、CVE-2026-117610 和 CVE-2026-118370。此次更新为关键的安全补丁，建议依赖 libexpat 库的开发者尽快升级至 2.10.0 版本以消除潜在风险。
01:32oss-security（开源安全披露）
CPAN安全组披露了Perl HTTP客户端库Furl中的严重安全漏洞CVE-2026-65059。受影响版本为v3.15及更早版本。该漏洞源于对HTTP响应进行无界解压缩，攻击者可利用此缺陷导致内存耗尽（Denial of Service）。对于依赖Furl处理网络请求的Perl开发者与自动化脚本而言，若不升级至修复版本，线上服务面临被恶意触发而崩溃的风险。建议立即检查项目依赖并升级至最新版本以消除隐患。
08:00Cloudflare Workers（Changelog）
自2026年11月17日起，兼容性日期为2026-11-17或之后的Workers将默认通过request.signal接收客户端断开连接事件。开发者可利用这些事件在客户端离开时停止不必要的工作、记录取消日志、清理资源或中止接受AbortSignal的操作。此变更不再需要enable_request_signal兼容性标志。现有Worker保持当前行为，直到更改兼容性日期或标志。若要在11月17日前试用该功能，可保留当前日期并在兼容性标志中添加enable_request_signal。
