notes
经验笔记
-
扫描器还没亮红：手机上把 Brotli 传递依赖查清并升包重建
CVE-2026-111497（Node2Shell→HTTP2Shell）同一套 Brotli 解码器进了 PyPI 的 Brotli/brotlicffi；requests、httpx 等装上后可能自动解 br。截至 10-23，Dependabot/pip-audit 等仍可能未映射 PyPI——扫描全绿≠安全。手机 SSH 上查 node/pip/锁文件，升到补丁线后重建镜像并重启。
notes
CVE-2026-111497（Node2Shell→HTTP2Shell）同一套 Brotli 解码器进了 PyPI 的 Brotli/brotlicffi；requests、httpx 等装上后可能自动解 br。截至 10-23，Dependabot/pip-audit 等仍可能未映射 PyPI——扫描全绿≠安全。手机 SSH 上查 node/pip/锁文件，升到补丁线后重建镜像并重启。