#security
v12sec｜x402 支付协议审计出 25 个漏洞，三个严重级涉及付款绕过、跨站登录签名与无限额扣款

v12sec 公布对 x402 协议代码库的审计结果，共报告 25 个漏洞，其中 3 个为严重级，研究方称已于 8 月 20 日修复，但 x402 仓库未发布对应安全公告，修复进展目前仅为研究方自述。

第一个：TypeScript 版 Solana facilitator 校验交易时只检查代币程序是否合法，再按固定位置把第三条指令当作 TransferChecked 解析，全程不校验指令类型，而 ApproveChecked 与 TransferChecked 的数据布局仅首字节不同，攻击者用纯授权指令就能通过金额、代币和收款方全部检查，facilitator 判定支付有效并交付资源，商户实际收不到任何代币，攻击者不需要持有代币余额，facilitator 还会替其付手续费。

第二个：Sign-In-With-X 自动签名包装器直接采用 402 响应里服务器提供的 domain 与 uri 字段，签名前不校验是否为本次访问的站点，恶意 API 可先从目标网站拿到真实登录挑战，嵌入响应收集客户端签名，再提交给目标网站完成登录，目标站自身的域名与签名校验全部照常通过，实质是钱包会话接管。

第三个：文档给出的默认客户端配置不设单笔与总消费限额，直接选用服务器返回的第一个支付方案，金额、代币、收款方与网络都由服务器指定，恶意 API 可把一次普通数据请求变成转走钱包全部代币余额的授权，对有余额的自动化客户端与 AI agent 危害最大。

三者分别跨越支付有效性、签名归属与消费限额三类信任边界；利用验证均在本地完成，未提交真实链上交易，推文与文章均未提供在野利用证据。

防御要点是校验必须发生在签名或结算之前：Solana 校验器先确认指令类型再解析转账，登录签名前比对 domain 与 uri 和实际访问站点，客户端强制执行显式单笔与总额预算，并限制允许的代币、网络与收款方；依赖 x402 的项目应尽快升级并确认所用 facilitator 与 SDK 已含上述修复。

研究发布推文 · 串内补充 · 串内补充
研究说明

#节气
今日 霜降
https://fixupx.com/lxhcat/status/2113420135302156434

#CVE #security
Next.js 10·14 带外安全更新：两个 Critical RCE＋一个 High DoS

官方发布带外安全更新，修复原定 9 月因上游依赖拖延而推迟的两个漏洞，共三项。
修复版本：v16.4.1（Active LTS）、v15.5.28（Maintenance LTS）。

漏洞清单
- Critical｜use cache 返回多个 typed arrays → 未认证 RCE：App Router＋Cache Components 场景触发，无可用缓解措施，即使代码里没有类似函数也须立即升级。GHSA-673q-mjm6-r5xr，根因在上游 React（GHSA-xqc2-xf4c-x3h3）。
- Critical｜Image Optimization API 处理 SVG → 未认证 RCE：仅 glibc Linux 上的 Next.js 受影响，问题出在上游图像库内存缺陷。临时缓解：确保 sharp ≥ 0.35.5；升级 Next.js 后包管理器会自动带上修复版。CVE-2026-96889。
- High｜Server Actions DoS：App Router 且至少有一个 Server Action 即受影响，构造请求可打满 CPU 阻塞同进程；Pages Router 或未用 Server Actions 不受影响。GHSA-p3m5-59mp-jv5r。

该做什么
- npm install next@16.4.1（16.4 线）或 npm install next@15.5.28（15.5 线）。
- 暂时无法升级的，先核查 sharp 版本（第二个漏洞的缓解），第一个漏洞无缓解、优先处理。
- 面向公网的 App Router 站点按 Critical 优先排期。

（应该是上周爆出来的，可以算旧闻了）

家人们，还是静态站好啊，GitHub / Cloudflare Pages 大法好！

#LLM #kimi

K3.1 Pro 系列模型 全新上线
K3.1 Pro 现已全量上线 Kimi Code，这是全新 K3.1 系列的第一个模型，这是我们迄今能力最强的三万亿级参数模型，支持 100 万上下文，在代码、3D 创作、金融研究与建模等方面的能力得到显著提升。
我们还同步推出了 Kimi K3.1 Pro Highspeed，在相同的模型效果下，其速度是 K3.1 Pro 的约 2–3 倍，具有更快的交互响应。

使用建议
保持思考开启：K3.1 Pro 系列仅支持思考模式，关闭思考的请求会被拒绝。
新建会话后再使用：建议不要在 K3 系列、K2.8 Preview、K2.7 Code Highspeed 的历史会话中切换模型至新模型，会导致模型效果异常，同时也会降低缓存命中，请创建新的会话体验 K3.1 Pro 系列模型。
使用原生接口协议：K3.1 Pro 系列模型推荐使用 kimi coding plan 原生 Responses、chat completion、message 接口协议调用，以获得最佳的效果稳定性，使用代理工具进行协议转换后可能引起效果波动。

https://www.kimi.com/code/docs/kimi-code/models.html

同步推出高速版模型 k3.1-pro-highspeed，同等智能，输出速度约 2~3 倍。

Kimi 你们员工不用睡觉的吗！

#LLM #kimi
Kimi K3.1 Pro：智能前沿，更进一步
InstantView · Source
原文有 demo 视频（

TL;DR：Kimi 发布 K3.1 Pro——3 万亿参数、100 万上下文，K3 的后训练版（RL 算力大增），同步推出输出快 2~3 倍的 Highspeed 版；11 月 4 日前开源权重。 kimi.com / App / Work / Code / API 全渠道可用，API 价格输入 1.3 元（缓存命中） / 13 元、输出 68 元每百万 Token。高速版价格 2 倍。

要点
- 代码：Terminal-Bench 4.0 拿 65.7%，超 GPT-6 Astra（58.2%）、逼近 Opus 5.5（66.4%）；端到端做出 UE5 天宫对战（3600 万三角形 Nanite）、Godot 3D 冒险、296 骨骼＋402 肌肉人体行走仿真（连续走 11.2 秒，还会开环探测修正肩部力臂 36 处错误）
- 3D：BenchCAD 92.7%；无需 MCP，直接写 Blender / FreeCAD / trimesh 脚本（2100 实体涡扇发动机、2317 零件机械臂展示页）； kimi.com 同步上线 3D Make 功能
- 金融：OfficeQA Pro v2 64.4 SoTA；商业运营基准为 K3 的 4.2 倍；幻觉压力测试单项错误率 23.4%→8.3%；端到端交付 NVDA 财务模型、宁德时代投委会报告
- 网络安全（最特别的部分）：官方主动披露了攻防能力的“降本”处理——从中期训练 + RL 两个阶段识别并移除网络攻防数据，xdev-bench-hard（Linux 内核 / Node.js / JSC 等真实 CVE 复现＋沙箱 RCE 验证）pass@3 从未过滤的 90.5% 降到 81.0%；声明开放权重的攻防能力刻意压在前沿闭源模型之下，但会渐进式放开
- 另有企业版、Kimi Hosted Agents（云端托管 Harness）与 FDE 合作伙伴计划