独家：FoxIO 研究员称 Bun 从未回应其五月提交的关于导致服务器崩溃的 HTTP/3 漏洞报告
Sébastien Féry 告诉 RuntimeWire，FoxIO 通过 Bun 的安全政策中的渠道报告了该漏洞，并“从未得到回复”。Bun 在周四发布了包含 HTTP/3 安全修复的版本，但该发布说明未提及 FoxIO 或该报告。
By Emerson Redding · Published · Updated
Primary source: github.com
为何重要
Féry 表示 Bun 的安全流程在第一步就失败了：已公布的五天确认承诺在报告数月无人回复时几乎没有保护作用。十月的发布增加了相关的 HTTP/3 限制。
一位安全研究员表示，他所在公司发现了一种只需约半兆流量就能让 Bun Web 服务器离线的方法，但当 FoxIO 在五个月前报告此漏洞时，JavaScript 运行时团队从未回复。
“我们通过他们在 SECURITY.md 中宣称的渠道联系了 Bun。我们没有收到任何回复，”安全公司 FoxIO 的研究员 Sébastien Féry 周四早上在一封发给 RuntimeWire 的电子邮件中说。
FoxIO 表示它在 5 月 24 日向 Bun 报告了该问题。Bun 在 GitHub 上的安全策略自 2025 年 7 月以来未曾更改，指示研究人员将邮件发送至 [email protected]。该策略写道，报告将在五天内得到确认，并且“安全团队将尽力在修复和完整公告的进展方面保持对您的通知。”
FoxIO 于 10 月 20 日发布的公开报告在其披露时间线上列出了 5 月 24 日向 Bun 的报告，但并未说明 Bun 是否回复。Féry 向 RuntimeWire 的评论回答了这个问题：并没有。
Bun（Anthropic 于 2025 年 12 月收购）并未回复 RuntimeWire 周四早上发往 [email protected] 的置评请求。
What the flaw does…
When you purchase through links in our articles, we may earn a small commission. This doesn’t affect our editorial independence.