Nacos 出现严重安全漏洞 again !

[90d0n]

联动 https://www.v2ex.com/t/744865

nacos 发布了修复 bug 的 1.4.1 版本, 然后又出现安全漏洞了... https://github.com/alibaba/nacos/issues/4701

修复 1 bug, 新增 1 bug (狗头

[singerll]

在我眼里都是专家级开发了，高级研发修 1 个新增 10 个，中级研发修 1 个新增 20 个，低级研发修 1 个，结果发现没修好，还新增 50 个。

[matrix67]

你这么发要影响很多人的绩效的，特别都快年末了。 上次圣诞彩蛋事件我记得大佬是背了 3.25

[fangcan]

不是新增 bug，这是没改好

[lqw3030]

拙见：在 bug 造成更大的损失之前及时修复止损不是应该的吗？

[tabris17]

@matrix67 这施阿波衣被开除都活该

[AA5DE3F034ACCB9E]

这个发现漏洞的人很强啊。。

[cnxobo]

借楼问一下，有没有什么地方可以订阅漏洞信息的。这心脏受不了。

[90d0n]

@AA5DE3F034ACCB9E #6 确实, 这是个大佬, 抓了好多 bug

[murmur]

阿里为啥不把折大佬招去福报，技术了得，也免得他到处发布

[payton93]

@cnxobo 我司还是依靠的舆情通报，安服、应急响应中心啥的

[Nich0la5]

用 nacos 的公司现在估计是心肌梗塞的感觉

[xiangyuecn]

不管在哪，一堆 if else + return 迟早出逻辑问题，这种复杂的逻辑要我来写就 while(true)，成功才 return，所有失败都 break，只有 if 没有 else，万无一失😂

[eason1874]

开源项目的漏洞提交到阿里安全响应中心有奖励吗？

不过，以他们那种嘴硬的态度，估计私下提交他们不一定认，还是公开提交效果好。

[tangzui]

看错了 堪称 MacOs 了 淦

[YAR]

又来....

[Lonely]

阿里开源少碰，不碰最好

[no1xsyzy]

@cnxobo 对大部分人来说还得依赖公开信息，主要是我等非专业人士就算拿到第一手也要花大力气才能看懂
如果你是专业人士大概也不会问这问题，不过有功夫钻研的话，可以 CVE 和各自的 issue / bug tracker （拿 RSS 订阅，避免删 issue 这种行为），专门看自己相关的。

@xiangyuecn 你这还不如所有失败就 throw 呢

[shuimugan]

去年我发邮件提了个未授权的漏洞被忽略，就懒得再提其它漏洞了。用开源的东西最好还是自己有点审计能力。

[learningman]

这人好 TM 屌啊
思路很清晰，但是能找出来真 NB

[x66]

不敢碰阿里开源的东西了。。