Skip to main content

OKHK 👀

OKHK 👀
OKHK 👀
✨ Thinking ❤️

  1. 橘橘橘子汁 & 🍊
    https://socket.dev/blog/bitwarden-cli-compromised
    Socket 研究人员发现 Bitwarden CLI 的 npm 软件包遭遇供应链攻击。受影响版本为 @bitwarden/cli@2026.4.0，其中的 bw1.js 文件被植入恶意代码。攻击者通过篡改 Bitwarden CI/CD 管道中的 GitHub Action 注入负载，目前其浏览器扩展和 MCP 服务未受影响。

    该恶意程序会抓取 GitHub 令牌、云服务凭证、SSH 密钥及 npm 配置，并通过创建特定主题的公开仓库泄露数据。它还包含针对俄语系统的自毁机制。受影响用户应立即移除该软件包，并重置所有可能泄露的凭证与密钥。


    npm “再拿一分”

  5. OKHK 👀
    Paas 平台 ClawCloud Run 提供每月免费 $5 DevBox 邀请注册 run.claw.cloud ClawCloud Run 是 ClawCloud 推出的 PaaS 平台 （目测基于 sealos 实现） 👉 使用 GitHub 注册且 GitHub 账户注册时间超过 180 天的用户，每月可解锁 $5 免费额度 👉 免费方案无需信用卡 免费(Free)计划存在明显的资源限制, 只能使用最多 4 个 vCPU 和 8GB RAM, 而流量和磁盘均被限制在极低的 10GB, 且只能创建…
    要停服了，如有部署服务的尽快备份数据
    https://question.run.claw.cloud/questions/10010000000003261
    即日起（4 月 23 日）停止新用户注册和购买
    5 月 11 日 ClawCloud Run 将下线并停止所有存量免费套餐服务.
    付费客户可通过表单申请套餐剩余价值折算退款, 截止日期为 5 月 20 日 00:00 (UTC).
    ClawCloud Run Question
    IMPORTANT: ClawCloud Run Service Discontinuation & Refund Notice - ClawCloud Run Question
    Dear Customers, After careful consideration, we have made the difficult decision to discontinue our product and related services. We sincerely appreciate your trust and support throughout our journey together. This notice provides the full ...

  7. OKHK 👀
    ×× 首次体验 ChatGPT Images 2.0 ，被吓到眩晕瘫坐，那一刻就像看到原子弹爆炸！
    ChatGPT Images 2.0 生图提示词
    https://github.com/gpt-image2/awesome-gptimage2-prompts
    #Image #Prompt #GitHub
    GitHub
    GitHub - gpt-image2/awesome-gptimage2-prompts: 🚀 Curated GPT Image 2 800+ prompt library — pixel-perfect text rendering, cross…
    GitHub - gpt-image2/awesome-gptimage2-prompts: 🚀 Curated GPT Image 2 800+ prompt library — pixel-perfect text rendering, cross…
    🚀 Curated GPT Image 2 800+ prompt library — pixel-perfect text rendering, cross-image consistency, and commercial-grade illustration. Free & open source. - gpt-image2/awesome-gptimage2-prompts

  9. 如何看待人民日报推文“这事我们定不了，得跟上面请示”？
    Telegraph
    如何看待人民日报推文“这事我们定不了，得跟上面请示”？
    八股文谁不会写呢？ “这事我做主，不用汇报” 在基层，常听到这样的声音：“这点事不用请示，我拍板就行”、“先干了再说，事后补手续”……按程序请示报告，本是组织原则的体现、协同干事的保障，可在一些地方和单位，“不请示”“擅自做主”却成了部分干部的“行事准则”。 这种抛开程序、自作主张的做法，看似“敢担当”“效率高”，实则暗藏风险、危害不小。 深究起来，无非是三种错误心态在作祟。 第一个不可取：把“该请示的事”当成“自己说了算的事”，本质是本位主义膨胀、组织观念淡薄。 有的基层干部觉得“自己最懂一线情况”，…

  10. 一觉醒来发生了什么 04 月 23 日
    #Daily

    2026 年 4 月 23 日
    🌍 资讯快读
    1、官方通报南昌虐婴事件：婴儿目前安全，其母已被采取刑事强制措施
    https://www.thepaper.cn/newsDetail_forward_33020580
    2、福建三明拟出台伴侣动物保护管理办法，提出不得虐待、遗弃
    https://www.thepaper.cn/newsDetail_forward_33027450
    3、个人燃放类产品药量限制更严格，烟花爆竹新国标 5 月 1 日实施
    https://www.jiemian.com/article/14293144.html
    4、伊朗议会主席团成员：海上封锁解决前不会进行第二轮谈判
    https://www.jiemian.com/article/14287821.html

    👬 即刻镇小报
    1、番茄小说，一个所有内容平台都应该重视的竞争对手
    https://m.okjike.com/originalPosts/69e710d017a662c1a9e34bb4
    2、人生很多时候，是选择了才有机会，是相信了才有可能
    https://m.okjike.com/originalPosts/69e8765b25bae56612200853
    3、脂肪本身不是问题，问题是你吃的是哪种脂肪
    https://m.okjike.com/originalPosts/69e78baa640cd215a067fa34
    4、让你变穷的最大陷阱是“生活方式通胀”
    https://m.okjike.com/originalPosts/69e6e32d8457fe30c70e3c77

    今日即刻镇小报内容来自 @绯火 @dea_J0125n. @风小海 @广屿 Ocean ，感谢以上即友的创作与分享。
    www.thepaper.cn
    官方通报南昌虐婴事件：婴儿目前安全，其母已被采取刑事强制措施_直击现场_澎湃新闻-The Paper
    澎湃，澎湃新闻，澎湃新闻网，新闻与思想，澎湃是植根于中国上海的时政思想类互联网平台，以最活跃的原创新闻与最冷静的思想分析为两翼，是互联网技术创新与新闻价值传承的结合体，致力于问答式新闻与新闻追踪功能的实践。

  12. 🔴 PackageKit 本地提权漏洞；请尽快升级至 1.3.5。

    - 修复版本 1.3.5 在约两小时前发布。
    - PackageKit 是许多包管理器的后端，在 Ubuntu、Debian、Fedora 等发行版上被广泛应用；最早受影响版本 1.0.2 版本在 12 年前发布。
    - 鉴于以上情况，目前大部分正在运行的 Linux 系统都受此漏洞影响，建议系统管理员在更新版本于发行版发布后及时更新。

    CVSS: 8.8/10
    Affect: [1.0.2, 1.3.4]

    - GHSA-f55j-vvr9-69xv
    - github.security.telekom.com/~

    linksrc: https://t.me/bupt_moe/2712

    #Security #PackageKit
    GitHub
    Race condition vulnerability leads to arbitrary package installation as root
    Race condition vulnerability leads to arbitrary package installation as root
    This report explains a vulnerability within PackageKit, that allows unprivileged user installing packages as root and thus leads to a local privilege escalation.

    All PackageKit versions between ...

  13. Cal.com 发布开源社区版 Cal.diy
    #开源

    日程安排平台 Cal.com 在以安全理由从开源转为闭源后，发布了面向个人自托管的开源社区版本 Cal.diy，并且在发布声明中反复强调不要将其用于生产用途。Cal.diy 采用 MIT 许可证，是 Cal.com 的开源分支，移除所有私有的企业版功能如 Teams、Organizations、Insights、Workflows 和 SSO/SAML，不需要 Cal.com 账号或授权。Cal.com 声明，它不推荐将 Cal.diy 用于生产。
    https://github.com/calcom/cal.diy
    https://www.solidot.org/story?sid=84059

  14. https://fxtwitter.com/foxshuo/status/2046913447137562749
    FxTwitter
    阑夕 (@foxshuo)
    刚刚看到GLM Coding Plan也涨价了，而且跟即梦还不一样，是直接对老会员的套餐下手，强制性切换到了新权益。

    另一则新闻是，因为Token涨价，一大批刚刚提刀入行的漫剧制作商宣告阵亡，更高的试错风险，击碎了「我上我也行」的乐观幻觉。

    今年以来，全球的AI产品都在开启「用量限额」的模式，去年的这个时候，Anthropic还在抨击同行囤积GPU极其不负责任，现在被Codex隔三差五重置额度骑脸抢人，一点办法都没有。

    不跌反涨，洛阳纸贵，Token是真的越来越不够用了。

    至少在硅谷，再也没有投…

  19. DeepSeek 已经把半年前那个离了《三体》不会举例子的 1M 上下文模型从官网 chat 下放到 API，新闻稿暂无。
OKHK