Claude 自主发现并串联利用 3 个 Node.js 漏洞，官方紧急发安全更新
chrisrohlf · x · 2026-11-12
Anthropic 研究员 Chris Rohlf 发帖称，Claude 能够自主发现、串联并成功远程利用三个 Node.js 漏洞：CVE-2026-123864、CVE-2026-123866（另一个 bug 碰撞）和 CVE-2026-123874，其中前两个是远程内存泄露，第三个可实现 RCE（需应用使用 stream.respondWithFile/FD）。他提醒开发者本周尽快给 Node.js 部署打补丁。
Node.js 官方随后发布了覆盖 26.x、24.x、22.x 三条发布线的安全更新，主要修复依赖项漏洞：
- HTTP/2 远程断连（CVE-2026-123863，高危）：HTTP/2 会话销毁时可触发的断言失败，未认证客户端即可让服务器进程崩溃，影响 24.x/26.x。Node.js 特别感谢 Chris Rohlf 与 Claude 及 Anthropic Research 合作报告此漏洞。
- HTTPS 内存泄露（CVE-2026-123864，高危）：llhttp 重入缺陷使未认证客户端可读取其他连接的内存。
- 其他修复涉及 undici（24.x/26.x）与 sqlite（22.x/24.x）依赖更新。
「模型」频道最新
- Datalab 快速模式 OCR 准确率超 Opus 5.5，价格仅 1/4 到 1/68 — VikParuchuri · 2026-11-12
- Claude 世界知识被赞惊人：单条 prompt 即可猜出用户身份 — adonis_singh · 2026-11-12
- Gemini 4 Carbon 全面开放:定价 $2/$10,12 月起价格翻倍 — socialwithaayan · 2026-11-12
- Gemini 4 Carbon 发布一天,十个野生气场演示刷屏 — socialwithaayan · 2026-11-12
- 五步让 Fable 5.2 Token 消耗降九成:Arc 路由+CLAUDE.md 瘦身实操 — EXM7777 · 2026-11-12
- Grok Bot 1.0 发布:可加入 Meet/Zoom/Teams 会议并自动总结 — mark_k · 2026-11-12