待验证50% 置信解决方案精确时间
新版修复了插件和市场错误信息显示 git 源 URL 中 token 或密码的密钥泄露问题，以及 /mcp、/plugin 服务器详情显示从 ${VAR} 占位符解析出密钥的问题
1
来源数
50%
置信度
中期 (~90 天)
时效性
2026/9/11
首次发现
有效期至：2026/12/10
来源
涉及实体
相关事实
待验证怀疑执行过恶意版本后应默认所有敏感凭证（npm token、云服务密钥、Git/SSH凭证、CI secret）已泄露并立即轮换60% 相似待验证Git 2.34+ 支持 SSH 密钥签名（gpg.format=ssh），降低了密钥管理门槛59% 相似待验证通过 Google Drive 分发源码难以建立与 Git 签名标签同等级别的密码学信任链，构成软件供应链安全隐患59% 相似待验证此前 deny 和 ask 权限规则在符号链接目录上存在失效问题，例如 macOS 上的 /etc、/tmp、/var 以及 Linux 上的 /bin，新版对该符号链接权限绕过漏洞进行了修复58% 相似待验证2013年Rapid7研究员HD Moore发布的《Security Flaws in Universal Plug and Play》报告揭示了UPnP的系统性缺陷，包括libupnp和MiniUPnP库的远程代码执行漏洞57% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/896666API
curl https://kongchang.com/api/v1/knowledge/claims/896666MCP
get_claim(id=896666)