'/%3e%3cpath%20id='cross_2'%20data-name='cross%202'%20class='cls-2'%20d='M20.612,30.43h0a5.361,5.361,0,1,0-10.723,0H0A33.709,33.709,0,0,1,30.569,0V9.75a5.361,5.361,0,1,1,0,10.723V30.43Z'%20transform='translate(67.193%200.007)%20rotate(90)'/%3e%3cpath%20id='cross_3'%20data-name='cross%203'%20class='cls-3'%20d='M20.612,30.43h0a5.361,5.361,0,1,0-10.723,0H0A33.709,33.709,0,0,1,30.569,0V9.75a5.361,5.361,0,1,1,0,10.723V30.43Z'%20transform='translate(67.186%2067.041)%20rotate(180)'/%3e%3cpath%20id='cross_4'%20data-name='cross%204'%20class='cls-4'%20d='M20.6,30.5h0a5.361,5.361,0,1,0-10.723,0H0A33.71,33.71,0,0,1,30.56,0V9.818a5.361,5.361,0,1,1,0,10.723V30.5Z'%20transform='translate(0%2067.041)%20rotate(-90)'/%3e%3c/svg%3e)
主要漏洞检查状态
本文档整理 2025 年以后公开的主要漏洞（CVE）和 KISA Boho Nara（보호나라）安全公告是否与 SetFN 相关，以及检查和处理是否已完成。每次进行新检查时都会更新，检查日期标注在各表格上方。
状态标注
| 状态 | 含义 |
|---|---|
已处理 | 修复已包含在已发布的 SetFN 版本中。 |
已修复（待发布） | 修复和确认已完成，将包含在下一次 SetFN 更新中。 |
修复中 | 已确认原因，正在修复。 |
计划改进 | 正在计划为降低风险而进行的功能改进。 |
不适用 | SetFN 不使用相应组件或功能，或不存在受影响的路径。 |
需运维人员处理 | 需要运维人员更新安装 SetFN 的服务器的操作系统或外部程序。 |
SetFN 服务器库
检查日期：2026-10-23。使用 Go 官方漏洞数据库（govulncheck）确认了 SetFN 服务器代码实际调用的漏洞。
| 组件 | 漏洞 | 内容 | 状态 |
|---|---|---|---|
| Go 标准库 | GO-2026-6809 | 改为不信任损坏的中间证书 | 已修复（待发布） Go 1.26.10 |
| golang.org/x/net | GO-2026-6617, 6612, 6611, 6603, 5030, 5029, 5028, 5027, 5025 | HTTP/2 服务器停止、内存耗尽，HTML 解析错误 | 已修复（待发布） 0.60.0 |
| golang.org/x/image | GO-2026-6222, 5066, 5062, 5061, 5032, 5031, 4961, 4815 | 解析 TIFF、WebP、BMP 图像时内存耗尽、停止 | 已修复（待发布） 0.45.0 |
| excelize（Excel 处理） | GO-2026-6689, 6688, 6685, 6684, 6453, 6452, 5960, 6695 | 经过构造的 Excel 文件导致内存耗尽、停止 | 已修复（待发布） |
| golang.org/x/text | GO-2026-6629, 5970 | 经过构造的输入导致停止、无限循环 | 已修复（待发布） 0.42.0 |
| gRPC | GO-2026-6348, 6061, 6443 | HTTP/2 传输内存耗尽等 | 已修复（待发布） 1.83.2 |
| gorilla/websocket | GO-2026-6278 | 生成掩码密钥时使用弱随机数 | 已修复（待发布） 1.5.3 |
| golang-jwt | GO-2025-3553, GO-2024-3250 | 解析令牌标头时内存使用过多，错误处理 | 已修复（待发布） 4.5.2 |
| ulikunitz/xz | GO-2025-3922 | 解压损坏的压缩文件时内存泄漏 | 已修复（待发布） 0.5.15 |
| klauspost/compress, edwards25519 | GO-2026-5841, 4503 | 压缩与签名库缺陷（SetFN 没有调用路径） | 已修复（待发布） |
| mholt/archiver v3, nwaples/rardecode | GO-2025-3605, GO-2024-2698, GO-2025-4020 | 解压路径操纵等。没有修复版本的库 | 已修复（待发布） 移除该库并替换为自有压缩模块 |
| pion/dtls v2 | GO-2026-4479 | 加密 nonce 生成缺陷。没有修复版本 | 已修复（待发布） 通过替换依赖库移除 |
修复后重新扫描的结果显示，SetFN 服务器代码调用的已知漏洞为零。
网页界面库
检查日期：2026-10-23。使用 npm 安全公告检查了在浏览器中运行的库。构建工具等不包含在发布界面中的库已排除。
| 组件 | 内容 | 状态 |
|---|---|---|
| prosemirror-view（文档编辑器） | 粘贴的 HTML 可能导致脚本执行 | 已修复（待发布） 1.42.7 |
| pdf.js（PDF 查看） | 经过构造的 PDF 可能导致脚本执行 | 已修复（待发布） 6.4.299 |
| Tiptap（文档编辑器） | 特定输入下正则表达式处理时间过长 | 已修复（待发布） 3.32.0 |
| markdown-it, linkify-it（Markdown 查看） | 经过构造的 Markdown 文档导致界面卡死 | 已修复（待发布） 14.3.3, 5.0.2 |
| js-yaml（Front Matter 解析） | 经过构造的 YAML 导致处理时间过长 | 已修复（待发布） 4.3.2 |
| DOMPurify（HTML 净化） | SetFN 未使用的选项中的绕过 | 已修复（待发布） 3.4.17 |
| @xmldom/xmldom（视频播放辅助） | XML 解析缺陷 | 已修复（待发布） 0.8.15 |
| TinyMCE 6（邮件编辑器） | 经过构造的 HTML 可能导致脚本执行（4 项仅在 7.x 中修复） | 已修复（待发布） 移除 TinyMCE。群发通知邮件编辑器更换为 Tiptap（2026-10-24） |
| TinyMCE 6（HTML 文件编辑器） | 同上 | 已修复（待发布） 移除 TinyMCE。HTML 文件只能以源码方式编辑（2026-10-24） |
文档处理外部程序
检查日期：2026-10-23。以下是 SetFN 在预览、转换、文字识别时调用的程序在 2025 年以后严重程度为高（High，CVSS 7.0）及以上的漏洞，以及 Ubuntu 24.04 LTS 的修复状态。
| 程序 | 2025 年以后 High 及以上 | Ubuntu 24.04 修复途径 | SetFN 处理 | 状态 |
|---|---|---|---|---|
| LibreOffice | 7 项 | main 软件包，1 项未修复（CVE-2026-63277） | 每次转换时创建新配置文件，并禁用宏、外部链接更新和 Java | 已修复（待发布） 添加 Java 拦截，需运维人员处理 软件包更新 |
| MuPDF | 5 项 | universe，未修复（CVE-2026-3308） | 有 Poppler 时不使用。建议不要安装 | 需运维人员处理 |
| libvips | 12 项 | universe，修复仅限 Ubuntu Pro | 限制输入大小和像素数，设置时间限制 | 需运维人员处理 |
| ImageMagick | 90 项 | universe，修复仅限 Ubuntu Pro | 仅在已安装时使用 | 需运维人员处理 |
| FFmpeg | 约 53 项 | universe，修复仅限 Ubuntu Pro | 仅用于视频缩略图，限制允许的协议 | 需运维人员处理 |
| Tesseract | 6 项 | universe，修复仅限 Ubuntu Pro | 用户无法更换 OCR 模型文件 | 需运维人员处理 |
| Poppler | 2 项 | main，已修复 | - | 需运维人员处理 软件包更新 |
| libheif, libde265 | 23 项 | main，大部分已修复 | 限制输入大小 | 需运维人员处理 软件包更新 |
| Pandoc | 0 项 | - | - | 不适用 |
| SQLite | 7 项 | main，已修复 | SetFN 服务器把 SQLite 内置在程序中使用，不受系统软件包影响 | 不适用 |
运维人员需要做的工作已整理在检查服务器安全更新中。
KISA Boho Nara 安全公告比对
检查日期：2026-10-23。全部确认了 2025-01-01 至 2026-10-22 期间发布在 KISA Boho Nara 上的 463 条安全公告。
- 直接影响 SetFN 产品的公告：0 条
- 根据运行环境可能相关的公告：32 条
- 不适用：431 条
根据运行环境可能相关的公告如下。
| 组件 | 公告数 | 代表性公告 | 状态 |
|---|---|---|---|
| Linux 内核 | 16 条 | 权限提升、内存损坏（CVE-2025-21756、CVE-2026-31431 等） | 需运维人员处理 |
| sudo | 1 条 | 本地权限提升（CVE-2025-32463） | 需运维人员处理 |
| OpenSSL | 2 条 | 缓冲区溢出、完整性验证不足（CVE-2025-15467、CVE-2026-34182 等） | 需运维人员处理 SetFN 服务器程序不使用系统 OpenSSL |
| snapd | 2 条 | 权限提升（CVE-2026-3888、CVE-2026-8933） | 需运维人员处理 |
| GRUB2 | 1 条 | 引导加载程序内存损坏（CVE-2025-0678 等） | 需运维人员处理 |
| FFmpeg | 1 条 | 越界写入（CVE-2026-8461） | 需运维人员处理 |
| FreeType | 1 条 | 越界写入（CVE-2025-27363） | 需运维人员处理 |
| Docker | 3 条 | Engine 认证绕过（CVE-2026-34040）等 | 需运维人员处理 使用 Docker 运行时 |
| Ollama | 1 条 | 越界读取（CVE-2026-7482） | 需运维人员处理 使用本地 AI 时 |
| nginx 等 Web 服务器 | 4 条 | 堆溢出，HTTP/2 内存过度分配（CVE-2026-49975） | 需运维人员处理 使用反向代理时 |
HTTP/2 拒绝服务公告（CVE-2025-8671，MadeYouReset）经 Go 官方发布确认不受影响，归类为 不适用。
安全标准自查
检查日期：2026-10-23，2026-10-24 更新。以 OWASP Top 10:2025、OWASP ASVS 5.0、NIST SP 800-63B-4、KISA Web 漏洞检查项目为标准，通过代码确认了 37 个项目。其中符合 20 个、部分符合 11 个、需改进 5 个、不适用 1 个。
| 项目 | 标准 | 状态 |
|---|---|---|
| 服务器连接时间限制（防范慢速连接攻击） | OWASP A02，KISA 拒绝服务 | 已修复（待发布） |
| 安全响应标头（防点击劫持、阻止 MIME 类型猜测、Referrer-Policy、Permissions-Policy） | ASVS Web 前端 | 已修复（待发布） |
| 强制 HTTPS（HSTS） | ASVS 安全通信，KISA 数据明文传输 | 需运维人员处理 为避免在自签名证书环境中无法访问，在处理 HTTPS 的反向代理上开启 |
| 拦截常见、已泄露的密码 | NIST SP 800-63B-4 | 已修复（待发布） |
| 用以长度为中心的策略代替密码组合规则 | NIST SP 800-63B-4 | 已修复（待发布） 新安装默认值（至少 12 个字符，不要求组合）。现有服务器保持当前规则 |
| 服务器端强制执行密码策略 | NIST SP 800-63B-4，ASVS 认证 | 计划改进 |
| 管理员两步验证（OTP 等） | NIST SP 800-63B-4，ASVS 认证 | 已修复（待发布） 认证应用（TOTP）与恢复码、强制策略 |
| 管理员安全设置变更的审计记录 | OWASP A09，ASVS 日志 | 已修复（待发布） |
已确认符合的项目包括 CSRF 防护、登录尝试限制与屏蔽、密码重置验证码的过期与一次性使用、更改密码和退出登录时销毁会话、固定令牌签名算法、在错误响应中隐藏内部信息、隔离上传文件。