持續性平台資安防禦升級

mosir在今天完成了第一輪由OpenAI Daybreak專案協助的資安弱點修正。

重複檢視後，我們決定公開這一輪修正的漏洞作為未來警惕：

CVE・第三方函式庫風險

• CVE-2026-104845・JSON解析資源DoS攻擊・2026-10-02公開
• CVE-2026-102989・反射型跨站指令（XSS）攻擊・ 2026-10-13公開
• CVE-2025-64702・QPACK HTTP3標頭放大DoS攻擊・2026-10-20公開
• CVE-2026-114112、CVE-2026-114113・多媒體解碼緩衝區溢位DoS攻擊・2026-10-20公開
• CVE-2026-111497・Node2Shell/HTTP2Shell brotli解壓縮遠端程式碼執行攻擊・2026-10-22公開

高風險

• OpenGraph（連結預覽）觸發的內部資源窺探攻擊
• 帳號憑證被盜用後登出，憑證仍有殘存時效

中風險

• 錯誤紀錄檔存放IP及忘記密碼重設碼
• 圖片生成模組資源膨脹DoS風險
• 瀏覽器通知註冊重導向內部網路攻擊
• 存在風險時未積極登出使用者
• GraphQL荷載DoS風險
• Rate Limiter未能阻擋偽造IP

上述13項安全缺陷中5項為第三方函式庫風險，5項全部都是高風險或重大風險。並且全部都於過去30天內公開，過半數為一週內公開。

我們預期在一段時間內，資訊安全威脅增加的速度還會再更快。

因此在接下來30天內，mosir會持續藉由Daybreak專案的協助，維持每週執行兩次完整掃描與修正的頻率。若有必要，會視情況延長。

修正完成時我們會不定期更新。若發現網頁經常因為更新重新載入，還請多多見諒。