2026-07-27 15:58 UTC
RE: https://c7.io/@tidy/116992713510350101
这个隐私泄露问题很严重，影响之前的所有v4.6 和 v4.7版本的长毛象。任何用户，只要在同一个实例，就可以拿到你的email和IP地址。如果再结合国家机器级别的数据库，大概率就能精准定位到个人。
考虑到中文长毛象的特殊性，大家可能希望在这里尽量匿名。所以这个bug对中文毛象生态有摧毁性的影响。
希望大家立刻检查自己所在实例的版本，如果是v4.6.0-v4.6.3（含），或者4.7.0-alpha1，请督促站长立刻升级。好在根据 https://status.c7.io ，目前绝大多数大实例已经升级倒安全的版本。
如果站点的管理员没有反应，或无法升级，唯一安全的做法是删除账号。
https://github.com/mastodon/mastodon/security/advisories/GHSA-hx34-2pfw-2qfj
Replies (8)
-
@dakkon@g0v.social 2026-07-30 23:06
@snullp@c7.io @poga@g0v.social 站长大人明鉴 :dogsad:
-
@snullp@c7.io 2026-07-27 16:25
此外官方目前已经彻底停止对v4.3以及之前版本的支持。如果实例版本还停留在4.3或者更早，那等价于任何漏洞都存在且不会被修复。
-
@oss@social.kryta.app 2026-07-27 16:16
@snullp@c7.io 那我们实例的由于很早的时候负载均衡器配错了一直没修，导致用户地址都是私网地址。还属实赚到了。
-
@otakutyrant@c7.io 2026-07-27 17:13
@snullp@c7.io 热心站长。
-
@boluoyou@go5.dev 2026-07-27 18:43
@snullp@c7.io @yun5s@go5.dev @yukie@go5.dev 查了一下我们还在 v4.6.2
-
@liqi@me.ns.ci 2026-08-02 00:08
@hello@me.ns.ci 站长fyi :11111: 看了一下本站在v4.5.6 所以应该也没问题
-
@anle@c7.io 2026-08-04 07:16
@snullp@c7.io 先来个暴论，隐私泄露的本质在于发生传输，所以无网环境才能做到真的匿名。 网络环境想要完全匿名很难，邮箱不是什么大问题，可IP一被追踪就差不多等于裸奔，如果在bug被修复之前被追踪了，无法预防。 只要控制好自己的言论和行为边界，正常情况没人会注意你，从行为成本角度降低风险显然比技术略有效点
-
@anle@c7.io 2026-08-04 07:53
@snullp@c7.io 有些实例有人工审核注册，注册审核慢而且人也非常少，行为成本显然高于收益。提高成本对降低风险还算有效，这方面的考虑属于多上一道保险，弥补一下技术风险。