2. Linux.do
  3. Sub-Store 近期所谓的 "恶意代码漏洞" 说明

Sub-Store 近期所谓的 "恶意代码漏洞" 说明

xream 2026-09-05 16:00 1

带节奏的人太多了. 一直不喜欢 LINUX DO 这味儿…还是发一下吧…


省流版: Sub-Store 没漏洞, GUI 没安全配置导致的. 新版在这些 GUI 环境中, 默认只允许安全的 CORS allowlist.


如果还想要更安全, 我会建议不要跟某些人一样追着 Sub-Store 不放, 应该压力这些 GUI 默认进行安全配置/放开配置让用户自己进行安全配置.


详细版:




  1. Sub-Store 本身是有相关的安全配置的. 相关的配置说明中, 已经强调了安全配置的重要性. 也发布过 安全小贴士




  2. 各种桌面客户端(例如各种 mihomo GUI) 内置 Sub-Store 启动时, 未设置相关安全配置, 导致在本机启动了一个能随意访问的 API




  3. 2026年9月4日 13:28:21 已经改了一些默认逻辑




2.38.0 开始, Node.js 需要设置 CORS allowlist SUB_STORE_CORS_ALLOWED_ORIGINS 例如 https://sub-store-frontend.a.com 或 *(不安全)

脚本操作、脚本过滤和修改响应必须设置 SUB_STORE_FRONTEND_BACKEND_PATH 才能生效；若不想改变当前 path，可设置 SUB_STORE_FRONTEND_BACKEND_PATH=/(不安全)


虽然我觉得没啥意义…但是被追着不放了


已做一些处理, 应该只影响自建(如果用官方前端 也不用设 SUB_STORE_CORS_ALLOWED_ORIGINS) 和 sionnx/SubCase


不影响 xishang0128/sparkle 等客户端 GUI 内置, 模块版 Delusions6515/Sub-Store-Module 这些

最新回复 (13)
  • 唐洛 09-05 16:04
    1楼

    大佬是 sub-store 的作者吗？

  • ℒ𝓊𝓂𝑒𝓃 09-05 16:28
    2楼

    已经部署在服务器上很久了 感谢作者的开发和及时修复


    我的想法是

    substore 起初作为苹果一些代理工具的模块，有系统的沙箱机制来兜底

    随着影响力扩大（确实好用hh，大伙也逐渐拿去放在docker、win等环境下跑，威胁面于是大不一样了

  • saltwore 09-05 16:42
    3楼

    我是本地用surge模块来跑的

  • Darker 09-05 16:51
    4楼

    活捉小一佬

    匠心巨作啊,一直用这个做订阅聚合 ^-^

  • lemos 09-05 17:12
    5楼

    不用的功能确实应该默认关掉。

  • liuqiang 09-05 20:17
    6楼

    哪位大佬可以告诉我docker部署的，需要修改什么吗？部署2年了一直没换过。。。

  • Nec 09-05 20:21
    7楼

    竟然这里也能看到作者，我几年前当时大学玩免流还是纯看的你的教程

  • GMYXDS 09-05 20:23
    8楼

    活捉大佬，欢迎来L战

  • xream 楼主 09-05 20:24
    9楼

    上面发的安全小贴士里都写了

    Docker 的话基本就是这几个环境变量:


    # 你的前端(如果用官方前端 也不用设)
    
SUB_STORE_CORS_ALLOWED_ORIGINS: "https://sub-store-frontend.a.com"
    
SUB_STORE_BACKEND_API_HOST: 127.0.0.1
    
SUB_STORE_BACKEND_API_PORT: 3001
    
SUB_STORE_BACKEND_MERGE: true
    
SUB_STORE_FRONTEND_BACKEND_PATH: /cD7wiTGitLyoBdEguAnFWmqCpHKwhLQh4opXfFhFCEpmY9K7YnPgFu9e2iiUoty2
  • liuqiang 09-05 20:45
    10楼

    好的，明天去改一下。谢谢佬！

  • David Colin 09-05 20:47
    11楼

    今天升级docker镜像之后发现前端页面修改报这个CORS，刚好看到这里，改了下配置把自己部署的域名配进去就可以了，感谢

  • 花火花大火 09-05 21:09
    12楼

    CORS 小问题洒洒水，不过最近发现了一个跟 sub-store 类似的纯 golang 的 GitHub - kuuvahki-labs/sandrone: Self-hosted proxy configuration workbench for aggregating subscriptions, probing nodes, and generating Mihomo, sing-box, and Shadowrocket configs. · GitHub ^-^

  • Fernando Mayert MD 09-06 11:14
    13楼

    谢谢大佬，我一直自己搭建的 Sub-Store，非常好用，也没有出现过任何问题

* 帖子来源Linux.do
附近帖子
返回
飞读
随机推荐