Sub-Store 近期所谓的 "恶意代码漏洞" 说明

Sub-Store 近期所谓的 "恶意代码漏洞" 说明 带节奏的人太多了. 一直不喜欢 LINUX DO 这味儿…还是发一下吧… 省流版: Sub-Store 没漏洞, GUI 没安全配置导致的. 新版在这些 GUI 环境中, 默认只允许安全的 CORS allowlist. 如果还想要更安全, 我会建议不要跟某些人一样追着 Sub-Store 不放, 应该压力这些 GUI 默认进行安全配置/放开配置让用户自己进行安全配置. 详细版: 1. Sub-Store 本身是有相关的安全配置的. 相关的配置说明中, 已经强调了安全配置的重要性. 也发布过 安全小贴士 2. 各种桌面客户端(例如各种 mihomo GUI) 内置 Sub-Store 启动时, 未设置相关安全配置, 导致在本机启动了一个能随意访问的 API 3. 2026年9月4日 13:28:21 已经改了一些默认逻辑 2.38.0 开始, Node.js 需要设置 CORS allowlist SUB_STORE_CORS_ALLOWED_ORIGINS 例如 https://sub-store-frontend.a.com 或 * (不安全) 脚本操作、脚本过滤和修改响应必须设置 SUB_STORE_FRONTEND_BACKEND_PATH 才能生效；若不想改变当前 path，可设置 SUB_STORE_FRONTEND_BACKEND_PATH=/ (不安全) 虽然我觉得没啥意义…但是被追着不放了 已做一些处理, 应该只影响自建(如果用官方前端 也不用设 SUB_STORE_CORS_ALLOWED_ORIGINS ) 和 sionnx/SubCase 不影响 xishang0128/sparkle 等客户端 GUI 内置, 模块版 Delusions6515/Sub-Store-Module 这些 13 个帖子 - 11 位参与者 阅读完整话题 via LINUX DO - 热门话题 (author: xream) 相关链接： https://github.com/sionnx/SubCase https://github.com/xishang0128/sparkle https://github.com/Delusions6515/Sub-Store-Module https://linux.do/t/topic/2859330