Reddit · r/LocalLLaMA· /u/Possible_Statement84·· 7 天前AI 评分53
本地角色扮演应用 Vellium 发布 1.7，修复角色卡路径删除与 DNS rebinding 漏洞
Character cards are untrusted input. Notes from a security pass on my local RP frontend
来源与原文
Reddit · r/LocalLLaMA
作者：/u/Possible_Statement84
发布时间：（北京时间）
阅读原始来源 · reddit.com ↗完整链接与内容说明
https://www.reddit.com/r/LocalLLaMA/comments/1xaqrpg/character_cards_are_untrusted_input_notes_from_a/
本站目前仅有 AI 导读与摘要，未展示原文正文；技术细节、代码和完整结论请查看原始来源。
AI 导读
Vellium 作者发布 1.7 版，修复安全排查发现的两类问题：角色卡 avatar 字段可写入 ../../ 路径导致换头像时误删任意文件，或用网页链接获取用户 IP；本地服务器此前接受任意域名请求，存在 DNS rebinding 风险，且设置接口曾明文返回 TTS 和 STT API 密钥。0.2.3 至 1.6.0 版本均受影响，作者提醒低于 1.7 的用户更新，并建议其他前端开发者把角色卡视为不可信输入。
来源：Reddit · r/LocalLLaMA · reddit.com