被指涉色情引流，闲鱼公布调查结果
马上评｜月饼卖不动了？其实是回归理性了
OpenAI新举措：允许第三方机构在模型训练、开发阶段进行安全评估
美联储Perli：美联储购债将视市场情况调整，关注融资压力信号，维持准备金充裕
美国多部门将AI蒸馏定性为国家安全问题，制裁风险逼近中国大模型企业 - 虎嗅网
Benchmarking Neural Defend ARCAS 1B: A Foundational Multimodal Deepfake Detection Model
WordPress 爆出 9.2 分严重安全漏洞｜CVE-2026-87902
2026年9月23日，WordPress 爆出 9.2 分的严重安全漏洞，攻击者无需登录即可在服务器上运行代码。漏洞编号 CVE-2026-87902，请务必升级至最新版本 7.1.2。@Appinn
根据 W3Techs 2026 年 9 月 22 日的最新统计，全球约 40.2% 的网站都在使用 WordPress，作为对比，排名第二的 Shopify 只有 7.8%，Wix 为 6.2%。
WordPress 依旧是互联网的扛把子、老大哥。
CVE-2026-87902
漏洞原理
这个漏洞出现在 WordPress 查找“页面模板”的过程中。
正常情况下，WordPress 只应该从当前主题目录中寻找页面模板。但在受影响版本中，攻击者可以构造特殊请求，让模板路径跳出主题目录，也就是典型的路径遍历。
这样一来，WordPress 就有可能把服务器上其他位置的某个 .php 文件，当成页面模板加载并执行。
不过，还需要同时满足两个条件：
- 当前启用的主题或父主题中，存在一个名称以 page- 开头的顶级目录，例如常见的 page-templates。
- 服务器上还存在一个 Web 服务进程能够读取、并且可以被利用的本地 PHP 文件。
官方特别提到了一个典型场景：某些服务器中存在 pearcmd.php，同时 PHP 的 register_argc_argv 处于开启状态时，这条路径可能进一步被利用，最终让攻击者执行任意 PHP 代码。
整个过程不要求攻击者登录 WordPress，也不需要管理员或普通用户进行任何点击操作。
受影响的范围
受影响的主题包括老版本的 Twenty Twelve、Twenty Fourteen，以及部分第三方主题，例如 Neve、Hestia 和 Sydney。另外，WordPress 特别提到，官方 PHP Docker 镜像，以及使用 PHP 8.5 之前版本的默认 cPanel 配置，可能满足相关服务器条件。
影响范围非常大，从 WordPress 4.7 一直到 7.1.1 的多个分支都包含这个问题：
| 受影响版本 | 已修复补版本 |
|---|---|
| 7.1.0 – 7.1.1 | 7.1.2 |
| 7.0.0 – 7.0.5 | 7.0.6 |
| 6.9.0 – 6.9.8 | 6.9.9 |
| 6.8.0 – 6.8.9 | 6.8.10 |
| 6.7.0 – 6.7.8 | 6.7.9 |
| 6.6.0 – 6.6.8 | 6.6.9 |
| 6.5.0 – 6.5.11 | 6.5.12 |
| 6.4.0 – 6.4.11 | 6.4.12 |
| 6.3.0 – 6.3.11 | 6.3.12 |
| 6.2.0 – 6.2.12 | 6.2.13 |
| 6.1.0 – 6.1.13 | 6.1.14 |
| 6.0.0 – 6.0.15 | 6.0.16 |
| 5.9.0 – 5.9.17 | 5.9.18 |
| 5.8.0 – 5.8.16 | 5.8.17 |
| 5.7.0 – 5.7.18 | 5.7.19 |
| 5.6.0 – 5.6.20 | 5.6.21 |
| 5.5.0 – 5.5.21 | 5.5.22 |
| 5.4.0 – 5.4.22 | 5.4.23 |
| 5.3.0 – 5.3.24 | 5.3.25 |
| 5.2.0 – 5.2.27 | 5.2.28 |
| 5.1.0 – 5.1.25 | 5.1.26 |
| 5.0.0 – 5.0.28 | 5.0.29 |
| 4.9.0 – 4.9.32 | 4.9.33 |
| 4.8.0 – 4.8.31 | 4.8.32 |
| 4.7.0 – 4.7.36 | 4.7.37 |
建议开启 WordPress 的自动更新功能。
原文：
虽然漏洞利用需要额外条件，但这是一个无需登录即可尝试攻击、成功后可能获得服务器代码执行能力的问题，没必要等。
相关阅读
- PowerToys、Wintoys 等 70 多款 Windows 软件遭遇冒牌官网攻击
- WordPress.com.cn 归来？
- 群晖两连更：几乎没人用功能，Telnetd 爆出两个 9.8 分 CVE 漏洞
- 史上最简单建站：WordPress Studio 发布，只需点两下鼠标，就能创建一个网站
- 顶 iLEMONed，骂小人
©2021 青小蛙 for 小众软件 | 加入我们 | 投稿 | 订阅指南
3659b075e72a5b7b1b87ea74aa7932ff
点击这里留言、和原作者一起评论
WordPress Click2Shell漏洞曝光 恶意链接可以诱导管理员触发PHP代码执行
[分享创造] 从 Windows 转 Mac 找不到顺手的 WGestures 替代品？用 Swift 6 原生手搓了一款 Glide (妙划)，送 V 友永久授权
各位 V 友大家好：
作为一名日常重度使用 Mac 的开发者，外接普通鼠标时的操控体验一直让我很难受：
- 很多从 Windows 转到 Mac 的朋友，都极其怀念当年 WGestures / MouseInc 那种随手右键划线后退、关网页的肌肉记忆；但在 Mac 上，市面上的替代工具要么手势识别率不高、容易丢帧，要么功能单一；
- 老牌神器 BetterTouchTool (BTT) 功能虽全，但历史包袱沉重，常驻内存动辄两三百兆，配置界面繁杂犹如天书；
- 日常为了提效，我们往往要在后台同时挂着手势软件、窗口分屏软件（ Rectangle ）、再加上划词翻译工具，后台挂得满满当当，还偶尔相互冲突。
为了在 Mac 上找回真正“轻快、跟手、不打扰”的全局操控体验，我花了几个月时间用 Swift 6 + AppKit 从零手搓了这款原生 macOS 效率工具 —— **Glide (妙划)**。
💡 核心设计与真实实现：
-
纯原生打造、极度轻量省电：
- 拒绝 Electron ，拒绝庞大的跨平台依赖；
- DMG 安装包 Apple Silicon 原生版仅 5.8 MB，Universal 双架构版 7.1 MB；
- 常驻内存
< 35 MB，空闲时 CPU 占用稳定为0%； - 满帧适配 120Hz ProMotion 高刷屏幕，毫秒级响应。
-
平滑四向折线手势序列 + 智能防误触：
- 采用经典稳定的四方向折线序列识别（由基础方向 U / D / L / R 自由组合出 RD 关标签页、L 后退、R 前进、UD 刷新等）；
- 彻底解决右键冲突：短按轻点 100% 弹出系统原生右键菜单；只有长按拖拽划线时才唤醒流光画笔与动作识别，完全不影响正常右键操作。
-
内置原生窗口吸附与分屏（无需额外开 Rectangle ）：
- 支持屏幕边缘拖拽吸附（左半屏、右半屏、顶部全屏、四角 1/4 分屏）；
- 支持手势一键吸附（向右上划 UR 靠右半屏，向上划 U 全屏最大化）。
-
随身 AI 空间透镜：
- 屏幕上按住右键顺时针画个圈
RDLU，即可静默圈选屏幕任意区域，触发本地 Apple Vision OCR ； - 接入 DeepSeek-R1 、Gemini 、OpenAI 与本地 Ollama ，自动折叠
<think>思考过程，支持一键“原位替换选中文本”与桌面图钉置顶。
- 屏幕上按住右键顺时针画个圈
🛡️ 关于安装与权限的说明：
- 关于安全性与 Gatekeeper：由于目前项目处于早期公测打磨阶段，个人开发者尚未配置苹果每年 $99 的开发者证书公证。首次打开安装包若出现系统安全拦截提示，只需在访达中右键选择「打开」，或在「系统设置 - 隐私与安全性」中点击“仍要打开”即可。
- 纯本地运行：软件的所有配置、规则均存储在本地 SQLite 中，API Key 加密保存在系统 Keychain ，绝不收集、上传任何用户个人隐私与屏幕数据。
🎁 V 友专属首发福利（拒绝虚假试用，送终身 Pro ）：
软件刚迈出第一步，我们深知目前最需要的是真正懂产品、挑剔体验的极客朋友给我们提出真实的意见和使用反馈。 因此，绝不搞“限时 30/60 天试用”这种反向劝退套路：
-
官网 / 下载直链：点此前往 Glide 官网下载安装包
-
回帖即送终身 Pro：只要在下方回复你日常用 Mac 外接鼠标时的痛点，或者对手势/窗口管理功能的任何建议，每一位回复的 V 友，我都会在 24 小时内通过 V2EX 站内私信赠送终身永久 Pro 激活兑换码！
💬 虚心求喷与交流：
无论手势识别算法手感、防误触阈值、分屏动画还是快捷键逻辑，欢迎各位 V 友尽情吐槽、拍砖和提需求，每一条反馈我都会认真看并尽快跟进迭代！
[推广] 「送码」告别 Finder 点点点：双手不离键盘的 macOS 双栏文件管理器 ATBCmder 迎来大更新 [效率工具]
各位 V 站的朋友好！
上个月初，我在 V 站发过一个主题（ATBCmder ‐‐ MacOS 平台的双面板文件管理利器），跟大家聊了聊我作为 Total Commander 老用户、在 Mac 上尝试用 Vibe Coding 打造双面板文件管理器的初衷。
那个帖子收到了很多 V 友的中肯反馈——有朋友提到“默认 UI 略显老派”，也有朋友关心“这个 App 能维护多久”。过去的一个多月里，我和 AI Agent 伙伴们几乎每天都在高强度 PUA 与迭代：不仅重新重构了视觉风格和操作细节，产品也正式通过苹果审核上架了 Mac App Store，并加入了一整套专为开发和极客场景设计的进阶功能。
今天带着崭新的 ATBCmder 来向大家交作业，并带来一波 20 个永久 Pro License 的社区专属送码福利！
- Mac App Store 下载：https://apps.apple.com/app/atbcmder/id6792398333
- 官方网站 & 完整快捷键手册：https://cmder.aitobox.com
- 付费模式：免费下载，默认提供 90 天全功能免费试用；到期后可单次买断永久 License ，终身升级。（送码规则在文末）
为什么你需要 ATBCmder ？
对于每天开着终端、写代码、查日志的同学来说，macOS 自带的 Finder 很多时候不够顺手：桌面堆满了窗口、拖拽容易放错目录、想对比文件来回横跳、手总要在键盘和触控板之间来回切换。
ATBCmder 的核心哲学只有一条：双手不离键盘，把效率和安全性做到极致。
1. 100% 键盘流驱动，手无需碰触控板
经典的对称左右双栏架构：按 Tab 键秒级切换活动焦点，F5 复制、F6 移动、F8 删除、Shift+F4 快速新建文件并唤起编辑器。手指完全不需要离开键盘主打字区，行云流水搞定日常文件整理与归档。
2. 本地离线 AI 语义搜索（绝对隐私安全，不跑云端）
在上一帖里我们提到过：“绝不把删除文件的权限交给脱缰的 AI”。这次我们把 AI 能力做深、做实——纯离线运行的本地语义搜索引擎。所有向量分析和自然语言理解都在你自己的 Mac 本地芯片上计算，不依赖任何云端 API ，不联网、不泄露隐私。用最自然的大白话（例如：“上周改过的关于 Docker 配置的文件”）就能瞬间命中深层目标。
3. 分支平铺视图（ Branch View / Flat Directory ）
整理多层嵌套的项目结构时，经常需要一层层进出目录找文件。ATBCmder 支持一键将整个深层目录树“打平”展开为一张单层列表。你可以一口气批量选定、批量重命名、或者清理散落在各个子目录下的构建产物和临时缓存。
4. 内建极客查看器 & Vim 快捷键 PDF 阅读器
按 F3 即可快速唤出通用查看器：
- 代码与文本：毫秒级渲染，内置 150+ 种语言的代码高亮；
- 日志监控：按
F5支持类似终端tail -f的实时日志滚动追踪模式； - 极速 PDF：告别体积笨重的第三方 PDF 工具，内建极客阅读引擎，原生支持 Vim 风格键位（
j/k滚动翻页），查阅开发文档手册非常丝滑。
5. 异步 I/O 队列，重任务从不卡 UI
无论是拷贝动辄数十 GB 的系统镜像，还是传输包含数万小文件的依赖库，ATBCmder 底层均采用全异步线程调度，界面永久告别彩虹圈，前台操作依然丝滑。
V 友送码活动（共 20 个 Pro 兑换码）
ATBCmder 默认就给所有用户提供了 90 天毫无限制的全功能免费试用。我们希望它先真正融入你的开发与工作流，帮你切实省下时间。
为了回馈 V 站朋友们的支持，我们准备了 20 个永久 Pro License 兑换码：
因为这个工具是一款应用方向比较窄，仅适合每天有大量文件操作、注重效率的专业人士；也有一定的入门成本，所以希望能送给真正有需要的小伙伴；
20 个真实体验反馈奖励：2026-09-27 之前, 赠送给在回帖中提出中肯建议、功能诉求或指出实际 Bug 的朋友。
(兑换说明：2026-09-30 之前, 在 Mac App Store 个人中心点击“兑换”，或点击专属直链即可直接一键永久解锁 Pro License 。)
长期反馈与持续送码通道
如果你这次没有抽中，或者在后续长期使用过程中遇到了任何问题、想要什么新功能：
- 官方 GitHub 讨论区：https://github.com/aitobox/ATBCmderDoc/discussions
欢迎直接去我们的 GitHub Discussions 发帖。对于在论坛里提出有价值建议、Bug 反馈或被我们采纳落地 feature 的朋友，我们会长期、不定期在 GitHub Discussions 里送出 Pro License ！
欢迎大家下载体验，拍砖吐槽，期待听到你们的声音！
[程序员] Claude Opus 5.5 用上了： Fable 级能力，价格更低，还出了重置功能
今天 Anthropic 发布了 Claude Opus 5.5 。简单汇总几个要点：
定位和性能
这是 Claude 5.5 家族的首个模型，官方称大多数任务上与 Fable 5.1 同一水平，比 Opus 5 省 40% 运行成本。在官方公布的基准上，它在 agentic 编程、知识工作、电脑操作、图表识别和跨学科推理等项目上都超过了 Fable 5.1 。另外，输出速度比 Opus 5 快 30% 以上。 Introducing Claude Opus 5.5 \ Anthropic +2
价格（ API ）
输入 $4 / 百万 token ，输出 $20 / 百万 token ； Opus 5 是 $5 / $25 。缓存读取 $0.20/M ，缓存写入 $5/M 。Claude Code 和 Claude Platform 里的 Fast mode 最高可达 2.5 倍速度，价格为 $8 / $40 。 Yahoo Finance YouTube
编程实测案例
一位早期测试者用不到三小时审计并修复了一个 20 万行的代码库，用 Opus 5 需要 20 多个小时，而且 token 消耗少了 2.5 倍。官方文章里还提到，另一位测试者在一天内完成了 68 万行代码的迁移。 YouTube Anthropic
安全方面
这是 Anthropic 呼吁放缓前沿节奏之后的首个发布，发布前经过了 Frontier Design 、METR 等外部机构的测试，在其最全面的行为审计中是迄今表现最好的模型。 Anthropic
订阅用户福利
Pro 、Max 、Team 以及按席位计费的 Enterprise 计划，5 小时额度都有提高；订阅用户还拿到一次限额重置，10 月 22 日前随时可用。 MacRumors
后续
Sonnet 5.5 和 Haiku 5.5 会在接下来几周发布。 WHBL
开发者注意
Opus 5.5 上线了"preserved thinking"防蒸馏机制，会阻止 API 用户篡改之前的上下文来提取推理过程，适用于 2026 年 8 月 31 日及之后创建的 API 账户。此外，默认 effort 是 medium ，而且有四处 API 变更会让原本在 Opus 5 上正常运行的代码报错，迁移前记得看一下文档。 Anthropic Digital Applied Team
[程序员] 使用 WARP IPv6 后导致部分 AI 服务使用异常
在使用 WARP 后, 我们发现使用部分 AI 服务异常, 包括但不限于:
- chatgpt.com 的网络抖动. (进入 IPv6 后被阻断)
- Antigravity 无法使用. (400 User location is not supported for the API use.)
如果禁用 IPv6, 问题就会得到缓解.
猜测是相关公司的安全防护机制针对 IPv6 的规则限制更加严格, 但对 IPv4 相对宽松.
[酷工作] 招聘链上数据工程师（Go）、业务后端工程师（Go）、内部系统工程师（Go）、全栈工程师（React + Go）
投递请联系邮箱 ankor.wat.theme@gmail.com
岗位 1：链上数据工程师（Go）
3–5 年经验，本人动手写代码，不招高级或管理岗
熟练使用 Go
高并发数据处理
Kafka
大规模 MySQL
实时计算
链上数据解析，熟悉 EVM 或 Solana，多链优先
熟练使用 Cursor、Claude 等 AI 编程工具
优先： 区块链浏览器、链上索引、交易解码
相近背景可接受：金融数据、行情或清算类数据平台、高并发数据处理、实时计算。链上细节可入职后带。
不匹配情况：无消息队列或大表经验；只写合约、无数据处理经验；技术管理、架构师，或 5 年以上偏管理的候选人
岗位 2：业务后端工程师（Go）
3–5 年经验，本人动手写代码，不招高级或管理岗
熟练使用 Go
高并发 API
多端接口（Web / iOS / Android）
接口安全：鉴权、签名、防重放、防越权、幂等、并发一致性
熟练使用 Cursor、Claude 等 AI 编程工具
优先： 交易、支付、钱包类 API
相近背景可接受：金融、支付、高并发 SaaS 的公网 API，有接口安全经验。业务规则可入职后带。
不匹配情况：只做过内部系统；无接口安全经验；技术管理、架构师，或 5 年以上偏管理的候选人
岗位 3：内部系统工程师（Go）
3–5 年经验，本人动手写代码，不招高级或管理岗
熟练使用 Go
后台系统开发
权限、操作审计、监控告警
内网系统交付经验
熟练使用 Cursor、Claude 等 AI 编程工具
优先： 风控或配置类后台
相近背景可接受：金融后台、高并发 SaaS 管理端，做过权限、审计、告警。业务口径可入职后带。
不匹配情况：只做过公网 API；无权限与审计经验；技术管理、架构师，或 5 年以上偏管理的候选人
岗位 4：全栈工程师（React + Go）
3–5 年经验，本人动手写代码，不招高级或管理岗
熟练使用 React，能独立交付 Web
熟练使用 Go，能完成接口开发与调用
合约调用：Solana 或 EVM 至少一种，两种都熟悉优先（钱包连接、交易发送、回执处理）
熟练使用 Cursor、Claude 等 AI 编程工具
优先： DEX、发射台、钱包类产品
相近背景可接受：React + Go 全栈，能独立把页面和接口做完。合约调用有基础更好；只缺链上调用、其余能力扎实的，可以带。不要求高并发经验。
不匹配情况：纯前端且无后端交付能力；只写合约、无 Web 交付经验；技术管理、架构师，或 5 年以上偏管理的候选人