匿名 GitHub 仓库 “exploitarium” 发布未披露的漏洞

一位使用昵称 bikini 的匿名 GitHub 用户发布了名为 exploitarium 的仓库，该仓库作为公共概念验证（PoC）漏洞利用和漏洞研究写作的汇总档案。作者声称这些漏洞在发布时尚未披露，鼓励他人向相应项目报告以获取 CVE 编号。

目标软件与漏洞

exploitarium 仓库包含了多种目标，包括关键基础设施和广泛使用的开源工具。档案按文件夹组织，每个文件夹内包含一个 PoC 或研究条目。

项目	条目名称
Ghidra	`ghidra-12.1.2-rce-ace-calc-poc`
Docker	`docker-cp-copyout-destination-escape`
Firefox	`firefox-smartwindow-private-url-exfil-poc`
FFmpeg	`ffmpeg-rasc-dlta-calc-poc`
libssh2	`libssh2-publickey-list-calc-poc` 和 `libssh2-cve-2026-55200-poc`
PHP	`php857-streambucket-soap-rce-rpoc`
nmap	`nmap-ipv6-extlen-wrap-poc`
c-ares	`c-ares-tcp-uaf-calc-poc`
7zip/RAR	`7zip-rar5-motw-chain-poc`
AnyDesk	`anydesk-printer-com-impersonation-poc`
Gitea	`gitea-act-runner-container-options-poc`
RustDesk	`rustdesk-session-permission-pocs`
OpenVPN	`openvpn-connect-echo-script-ace-poc`

虽然作者将这些称为 “0‑day”，但安全社区对部分条目的严重性和复杂性持怀疑态度。

一些用户认为多个利用代码非常简单或需要不切实际的前提条件。例如，有评论者指出 Ghidra 的利用需要覆盖 Swift 工具目录中的二进制文件，而这本身就是设计上需要的代码执行前提，而非真正的漏洞。

"第一个需要能够覆盖 Swift 工具目录中的二进制文件。是的，如果你覆盖了 ghidra 执行的二进制文件，就可以触发代码执行。这并不令人惊讶。"

其他用户指出，在此情境下 “0‑day” 一词经常被误用，认为一旦 PoC 公布，它就不再是 0‑day，而只是公开的漏洞。

社区热议这些漏洞是否是使用大语言模型（LLM）发现的。部分评论者认为 AI 正进入一个转折期，能够更高效地发现简单的 bug 和 DoS（拒绝服务）漏洞，但更复杂的利用仍需人工手工编写。

"随着 AI 足够聪明能够发现这些漏洞，这类东西会大量出现。随着合法漏洞被修复，这种现象自然会减弱。"

exploitarium 仓库的发布凸显了公开披露与协调披露之间的持续紧张。作者声称其目标是 “吸引人们进入该领域”，并表示 “网络犯罪很 cringe”，但批评者认为在未先通知厂商的情况下发布 PoC 会使用户面临风险。

社区的一项洞见指出，虽然单个 PoC 可能规模小或范围有限，但将它们集中在一起可以让攻击者将其组合成更复杂的攻击链。这将公共信息集合转化为恶意行为者的高价值目标。

"单独来看这些都是小的拼图块，无法发挥作用。把它们全部放在一起，就更容易挑选块并尝试组合，看是否契合，从而构建更大的东西。"

一些讨论者担心，让机器人在开源代码库上自由搜索可能会使 “通过模糊性获得安全” 成为更可行的策略，尽管这是一种普遍被否定的安全原则。