Gemini CLI 修复安全漏洞：阻止扩展通过环境变量注入代码
amelidev · ghdev · 2026-08-18
Google Gemini CLI 的一个 PR 修复了扩展更新可能绕过用户同意检查并向 MCP 服务器进程注入未授权环境变量的问题。
修复详情：
- 同意变更检测：将扩展清单中定义的自定义环境变量纳入生成的同意字符串。修改环境配置现在会强制触发用户同意验证对话框。
- 子进程清理：引入了一组被阻止的运行时修改环境变量（如 NODEOPTIONS, PYTHONPATH 等）。在合并 MCP 服务器环境时，任何匹配被阻止集合的键将被忽略并记录警告，以防止潜在的执行预加载攻击。
该 PR 还添加了自动化单元测试以验证这些修复的有效性。
「Infra」频道最新
- LifeOS：基于本地模型的语音驱动个人管理工具 — Extension-Bid-639 · 2026-08-24
- 超算中心硬件选型：SSD与HDD的密度权衡 — generativist · 2026-08-24
- 三星展示 HBM 散热新方案，芯片性能存差异 — BenBajarin · 2026-08-24
- Tobi 开源 walgit：无数据库的单二进制 Git 服务器 — jevon · 2026-08-24
- s3collections：用S3构建分布式系统持久化数据结构 — andersonbcdefg · 2026-08-24
- 预测市场：年底前美一州实施数据中心禁令概率 68% — Polymarket · 2026-08-24