Forwarded from 轻惋频道 - 欢歌载舞庆新年，度日天天好运添 (MXtao_dada | イオンくん 是最棒的！)
一只瓜:
hmmm 简单来说就是 Ed Canary 推送机制有问题
被猫耳拿来推了恶意代码
Bluejett 用没那么恶意但还是很恶意的 PR 顶掉了猫耳的恶意 PR
hmmm 简单来说就是 Ed Canary 推送机制有问题
被猫耳拿来推了恶意代码
Bluejett 用没那么恶意但还是很恶意的 PR 顶掉了猫耳的恶意 PR
Forwarded from 某老兵回归的博麗神社
引用：：
具体过程：
问题根源在 MlgmXyysd ，他写的manager获取最新构建时，把PR的构建也包含了。导致任何一个人都能PR任意代码，然后自动出现在所有用户手上。因为这是「最新代码」。
猫耳发现了这个漏洞，但他及时关闭了PR。
最后出现在manager上面的那个自动构建，是有更新日志的，清楚写明了会清空数据。在manager里可以看见这个说明。
解决办法：
canary做成输入commit hash，然后去ci找包。输入commit hash是平衡性最好的，高级用户，低级用户都能照顾到。有新的PR，也能马上用上。知道commit hash这个要求，就能滤下一批人。但如果有需求的话，发帖给出commit hash，也能号召所有人安装上。
具体过程：
问题根源在 MlgmXyysd ，他写的manager获取最新构建时，把PR的构建也包含了。导致任何一个人都能PR任意代码，然后自动出现在所有用户手上。因为这是「最新代码」。
猫耳发现了这个漏洞，但他及时关闭了PR。
最后出现在manager上面的那个自动构建，是有更新日志的，清楚写明了会清空数据。在manager里可以看见这个说明。
解决办法：
canary做成输入commit hash，然后去ci找包。输入commit hash是平衡性最好的，高级用户，低级用户都能照顾到。有新的PR，也能马上用上。知道commit hash这个要求，就能滤下一批人。但如果有需求的话，发帖给出commit hash，也能号召所有人安装上。
Forwarded from Eric Chen's Public Channel (Eric Chen|出门常备口罩洗手液)