Hummingbot 是 GitHub 上知名的开源量化交易框架(Apache-2.0),提供多家交易所的连接器和做市、套利等策略。我作为贡献者提交了 PR #8501,修复 issue #8353:
1. 问题:Foxbit 交易所连接器用 Python 的 eval 解析 WebSocket 推送的消息,异常或恶意数据可能导致任意代码执行(RCE)。
2. 修复:3 处 eval 全部改为 json.loads 严格解析,去掉手工替换 true/false/null 的写法。
3. 测试:新增 2 个回归测试,确认消息里的表达式不会被执行;修正用 Python 字面量写的测试夹具。
4. Review:按维护者意见补充修改,并检查了其余夹具的影响范围。目前 PR 已提交,处于维护者 review 阶段。
PR 链接:https://github.com/hummingbot/hummingbot/pull/8501
点击空白处退出提示








评论