mercury233

@mangmaimu #2 除了攻击者之外，整个事件中，

• 写出严重漏洞
• 无视并公开 POC
• 过一个月修复
• 不强提醒用户更新
• 美化漏洞严重性
• 误导用户攻击来源不含 fnc
• fnc 被广泛攻击后才关闭

每一个都是飞牛自己的问题

测试了一下，截止到刚才，未升级的系统的 fn connect 仍然可以用之前的漏洞畅通无阻地进行目录穿越和文件遍历，看来他们的程序员确实不知道怎么阻断特定 url

我目前的打算： 文件：原本是 Windows 迷你主机开 smb 给其他电脑和虚拟机里的飞牛挂载，继续直接 smb 相册：immich 影视：放弃，折腾完看不了几次 docker：本来也不用这台 nas 跑

部分设备：指至少从 0.9.2 到 1.1.5 前的所有设备。 公网环境下：指公网开端口，或端口转发（包括 fn connect 和无额外认证的自建）。理论上也包括局域网内横向移动。 异常访问、外部异常流量：指直接在浏览器输入你的网址加特定 url 。 稳定性受到影响：指可以列出所有的用户文件…

https://www.v2ex.com/t/851083 修复这个问题的必要性增加了