消息详情

sub2api 易支付回调验签漏洞被公开披露 sub2api 的 EasyPay 支付集成被披露存在回调验签漏洞。启用 EasyPay 并采用 popup 或 submit.php 跳转模式的部署，普通注册用户可能无需商户密钥 pkey，就利用个人订单支付链接中暴露的签名构造支付成功回调，使充值订单被标记为已支付并增加账户余额。 漏洞报告将问题归因于 return_url 查询参数未被清理，以及签名参数拼接未充分转义。报告提出剥离用户查询参数、限制回调字段白名单并增加上游查单复核，称这些修复已在报告者部署中验证，但 GitHub Issue 目前仍未显示项目方已合并修复。升级前可将 EasyPay 切换至扫码或 mapi 模式，以避免下单签名直接暴露给付款人。 —— GitHub

• 字节跳动发布 Seedream 5.5，支持最多 100 轮连续编辑 字节跳动发布图像创作模型 Seedream 5.5，支持同一作品最多 100 轮连续编…
• 苹果iOS键盘被发现限制约10万词汇和短语的预测输入 独立研究人员Derik Kauffman从iOS 27.0键盘数据中解码出一份未公开的多语言短语限制列…
• OpenAI员工Tibo询问是否增加月费50美元的ChatGPT Pro 50套餐 OpenAI员工Tibo在X发文询问“Pro 50”是否有意义，引发用户…
• 美国法官裁定Anthropic须应诉Claude Max用量宣传指控 美国加州北区联邦法院裁定，Anthropic须继续应对Claude Max套餐用量宣传…
• 美国官员认为英伟达CEO黄仁勋与被指中国间谍有恋爱关系 一份由美国官员根据情报撰写的备忘录称，英伟达CEO黄仁勋曾与新加坡数据中心公司Megaspeed高管…
• 马斯克称特斯拉可能改为租赁Optimus机器人而非出售 马斯克在纽约第33届巴伦投资大会上表示，特斯拉可能采用租赁模式提供Optimus人形机器人，而不是直…
• Google Cloud界面疑似出现GPT-6.2 Astra与Sol模型标识 一张投稿截图在“Values”界面列出“base_model:gpt-6.2…
• OpenAI自主流水线验证Linux内核1724个漏洞并生成948个本地提权利用程序 OpenAI构建的自主漏洞研究流水线在一次Linux内核扫描中分析出2…
• 多品牌国行手机预装联通 SystemHelper 收集应用数据，小米组件循环录屏上传 开发者拆解小米14国行系统后发现，名为 SystemHelper、包名…
• Valve Steam硬件调查显示16GB内存配置重回首位 Valve发布的2026年10月Steam硬件与软件调查显示，16GB系统内存占参与调查设备的4…