用ChatGPT製作APP

w-studio.idv.tw

因為換手機之後原本用的血壓紀錄 APP在 Google Play商店早下架, 其他的 APP用的也不是很滿意, 於是用了 ChatGPT做了一套簡易版 APP來記錄, 不斷測試下 APP終於完成, 免費仔(我)扣掉 ChatGPT每日額度用完後被停話等待的時間, 實際花不到一個禮拜時間製作, 沒想到不會寫程式居然也可以做出來, 本想上架到 Google Play商店分享給大家, 但看到上架規定裡需要至少 12個使用者先封閉測試 14天, 要把我的姓名地址公布在 Play商店中, 還有一堆後續的事情, 想想太麻煩了就放棄上架 😅

ChatGPT全球大當機？

晚上事情才做到一半結果就突然斷線, 是因為我是免費仔嗎？😂

網頁型管理工具Webmin漏洞, CVE-2026-22678

Webmin是 Linux伺服器網頁型管理工具, 可透過瀏覽器管理帳號、服務、網路與系統設定, 以前曾使用過用來管理伺服器非常方便, 但覺得可以從網頁管理整個主機很不保險後來就沒再用了

CVE-2026-22678是影響 Webmin的一個儲存型跨網站指令碼(Stored Cross-Site Scripting, Stored XSS)漏洞, 影響 2.641之前的版本, 漏洞位於 System and Server Status模組中的 Email Template(電子郵件通知範本)功能, 攻擊者可以在 Email Template Description欄位輸入包含 JavaScript的惡意內容, 惡意 JavaScript會永久保存在系統中, 當管理者之後瀏覽該頁面時瀏覽器便會執行這段 JavaScript, 可能導致竊取管理者 Session Cookie, 以管理者身分操作 Webmin, 執行管理員可執行的管理功能, 新增後門帳號, 修改系統設定, 在某些情況下甚至可能間接導致作業系統層級的命令執行, 不過攻擊者必須先具備一個合法登入 Webmin的帳號及能夠存取 Email Template功能

官方已在 Webmin 2.641修正此問題, 立即升級至 2.641 或更新版本

Squid記憶體洩漏漏洞, CVE-2026-47729

Squidbleed (CVE-2026-47729)

這是影響 Squid的一個資訊洩漏漏洞, 屬於 Out-of-Bounds Read(越界讀取)類型, Squid的 FTP Gateway功能在處理 FTP伺服器回應時對輸入資料的語法驗證不夠完整, 當 Squid透過 FTP Gateway存取一個異常或惡意的 FTP伺服器時可能觸發越界讀取, 簡單來說就是用戶端透過 Squid存取 FTP資源, FTP伺服器回傳特製或格式錯誤的回應, Squid在解析回應時讀取了緩衝區邊界之外的記憶體, 攻擊者可能取得原本不應曝光的記憶體內容

安全研究人員分析認為, 洩漏內容理論上可能包含:

。HTTP認證資訊

。Proxy Authentication Header

。其他使用者的請求資料

。記憶體中的敏感資訊

會受影響的系統:

。安裝並執行 Squid Proxy

。啟用了 FTP Gateway功能

。Squid可以連到惡意或異常的 FTP Server

若只用 Squid做 HTTP/HTTPS Proxy且完全不使用 FTP Proxy功能, 實際風險會低很多, 漏洞於 2026年 6月公開並已在 Squid 7.6修補

Nginx緩衝區溢位漏洞, CVE-2026-42945

曾經玩了一下 NGINX, 用慣了 Apache對於它的安裝設定感到非常簡單有點不習慣就沒有再玩了, 這次 CVE-2026-42945是關於 Nginx緩衝區溢位漏洞, 是一個影響 NGINX的高風險記憶體損毀漏洞, 存在於 ngx_http_rewrite_module 組中, 漏洞類型為 Heap Buffer Overflow(堆積區緩衝區溢位), 而且還存在了 18年

當使用 rewrite指令後面跟著 rewrite、if或 set指令, 以及一個未命名的 Perl相容正規表示式 (PCRE)捕獲(例如 $1、$2), 且替換字串包含問號(?)時此漏洞就會出現, 未經身份驗證的攻擊者在自身無法控制的情況下, 可以透過發送 HTTP請求來利用此漏洞, 這可能導致 NGINX處理程序中的堆積緩衝區溢出進而導致程序重新啟動, 從而造成拒絕服務攻擊, 攻擊者還可以在位址空間佈局隨機化(ASLR)被停用或攻擊者能夠繞過 ASLR的系統上執行程式碼

建議將 NGINX Open Source升級至 1.30.1 或 1.31.0+, NGINX Plus升級至 R32 P6、R36 P4、R37+

Linux Dirty Frag漏洞

近期在網路上看到有資安公司表示在 Linux系統上面有個嚴重的系統提權漏洞(Dirty Frag), Dirty Frag是 2026年 5月公開揭露的一組 Linux Kernel本機權限提升(Local Privilege Escalation, LPE)漏洞, 攻擊者若已取得一般帳號(非 root), 可利用此漏洞直接升級成 root權限, 進而完全控制主機, 近期資安圈把它視為繼 Dirty Pipe、Copy Fail後又一個高風險 Linux核心漏洞

Dirty Frag並不是單一漏洞, 而是兩個 Linux核心缺陷串接:

。CVE-2026-43284: Linux IPSec ESP模組(esp4/esp6)相關漏洞

。CVE-2026-43500: Linux rxrpc模組相關漏洞

這兩個問題可讓攻擊者修改 page cache(核心快取中的檔案內容), 最後覆寫受保護系統檔案達成 root權限提升

已知受影響系統有: Ubuntu、Red Hat Enterprise Linux、Fedora、CentOS Stream、AlmaLinux、openSUSE等 2017年後 kernel 4.14+系列

防範方法有更新 Kernel, 停用相關模組, 限制本機帳號登入, 加強 Web Server安全

檢查了一下我最近使用過的系統還好都沒發現問題

FTP伺服器全球還有600萬台還在使用

最近有資訊業者表示全球還有 600萬台的 FTP伺服器還在使用, 還蠻有趣的情況, 因為 FTP伺服器(File Transfer Protocol)是一個舊式的檔案傳輸方式, 沒想到現在還有這麼多台伺服器在使用

FTP誕生於 1971年由印度學者 Abhay Bhushan編寫, 用於檔案在用戶端和伺服器間傳輸, 1980年被 TCP/IP取代, 其缺點為安全性不足, 因為 FTP使用的是未加密的明碼傳輸帳號、密碼、檔案內容, 所以容易遭到破解及竊取, 而且還有將近 245萬台使用未加密傳輸