Dockhand 管理界面有三条高危：静态资源后缀可绕过认证并重置管理员密码（CVE-2026-110130，CVSS 10.0）、OIDC 未校验 iss/aud/nonce/exp（CVE-2026-110112，CVSS 8.1）、已登录用户可经 Compose 模板接口回显任意 URL（CVE-2026-110255，CVSS 8.5）。请把 fnsys/dockhand 升到 v1.0.50 或更高，管理面只放内网或 VPN。
Filestash 是一款面向运维和开发的开源 Web 文件管理器，旨在把 SFTP、WebDAV、S3 等已有存储收进同一个网页，并通过浏览器完成浏览和上传。本文将介绍如何通过 Docker Compose 部署 Filestash，搭建浏览器文件管理平台，帮助你少装客户端、直接管理远程目录，适合服务器文件管理及多种存储集中查看等场景。
Open WebUI 是一款面向个人和团队的开源自托管 AI 界面，旨在把对话留在自己的机器上，并通过浏览器完成聊天、切换模型和查看记录。本文将介绍如何通过 Docker Compose 部署 Open WebUI 与 Ollama，搭建本地大模型对话平台，帮助你在浏览器里使用本机模型，适合内网试用及不把对话发到云端等场景。
Ollama 0.34.0 与 0.34.1 的 Pull API 对模型名和仓库请求的重定向目标校验不足，未认证攻击者可诱使服务端发起非预期出站请求（CVE-2026-108836，CVSS 7.3）。修复进入 0.34.2。0.34.2 仍受 CVE-2026-103663 影响，请把 ollama/ollama 直接升到 0.35.0 或更高。
Nginx UI 低于 2.4.1 有一批高危：Casdoor SSO 固定 state、OTP 与通行密钥注册及改密等写接口缺少 SecureSession，配置指令校验可被同行注入绕过，MCP 的 nginx_config_add 等路径跳过 REST 已有的校验。官方镜像 uozi/nginx-ui 自带 njs 模块，已认证调用方可在 nginx worker 中执行代码。请升级到 2.4.1 或更高。
Edgeless Contrast 1.8.0 至 1.24.1 之前有两处高危：Coordinator 对等恢复不核对对端 manifest generation，可重放已撤销的 history head（CVE-2026-109359，CVSS 7.7）；node installer 把宿主机 containerd 配置写成 0666，本地低权限用户可改配置并提权（CVE-2026-109358，CVSS 7.8）。请升级到 1.24.1 或更高，并手动收紧已经写成 0666 的配置文件。
containerd 在 2.1.0 至低于 2.2.7，以及 2.3.0 至低于 2.3.4，经 CRI CreateContainer 从检查点恢复容器时，会按检查点里的 UID、capabilities、no_new_privs 和 seccomp 恢复，而不是编排器下发的配置（CVE-2026-95837，CVSS 7.8）。仅影响启用了 CRI 检查点恢复的 Linux 节点。请升级到 2.2.7 或 2.3.4，并保持 enable_experimental_restore_via_create 关闭。
Blinko 1.8.8 及更早版本的 installPlugin 用未消毒的插件名拼接目录，可以把文件写到插件目录之外。官方镜像以 root 运行，覆盖启动相关文件后可在容器内取得 root（CVE-2026-108980，CVSS 8.8）。任意已认证用户都能调用该接口；开放自助注册时暴露面更大。Hub 上最新发行标签仍是 1.8.8，目前没有已发布的修复版本。
共 363 篇文章
