Skip to content

BBDown v1.6.10

Choose a tag to compare

View all tags
@github-actions github-actions released this 03 Aug 18:38
· 103 commits to master since this release
v1.6.10
6f5bd29

安全

  • webhook 回调 SSRF 重定向封堵：任务完成回调改用专用 AllowAutoRedirect=false 的 HttpClient，不再经共享客户端跟随攻击者可控的 Location 重定向到内网/云元数据地址。
  • 回调全零地址拦截：IsSafeCallbackUrl 字面 IP 分支补拦 0.0.0.0 与 [::]（连接时绑定回环）。
  • 局域网回调边界说明：字面 IP 的 RFC1918 内网地址仍放行（局域网回调用法）；攻击者构造的域名回调走 DNS 解析分支、内网段一律拒绝。需进一步收紧的局域网用户应配置 --serve-token 或前置反向代理。

维护

  • 修复 2 个编译警告：ServeApiSecurityTests 空 host 用例的 null 赋值、IsSafeCallbackUrl 的 literalIp 可能为 null 解引用。

Commits

  • chore(release): bump version to 1.6.10
  • fix(security): webhook SSRF redirect/loopback hardening + warnings

Downloads

Platform Architecture
Windows x64, arm64
Linux x64, arm64
macOS x64, arm64

Full Changelog: v1.6.9...v1.6.10

Assets 8
Loading