jt-live-whisperjt-live-whisper 於 2026 年 11 月 5 日發布兩則安全公告：GHSA-7m57-qfrp-hxfp（CVSS 3.1 評分 9.8，重大）指出 WebUI 檔案上傳功能不需驗證，且未充分檢查存放路徑與上傳大小，可從網路連線至 WebUI 者無須登入即可在錄音資料夾以外建立檔案，可能導致程式碼執行或記憶體耗盡；GHSA-3gqv-3c48-2q4w（評分 8.2，高）指出設定唯讀密碼時，遠端仍可不經驗證讀取逐字稿、摘要與錄音，且即時連線未套用密碼與來源位址檢查，可停止、暫停或靜音進行中的作業。兩者皆影響早於 2.22.2 的版本，已於 2.22.2（2026-09-25）修正。
影響版本
- jt-live-whisper 早於 2.22.2 的版本（WebUI 可由其他主機連線者，包含伺服器模式 install.sh --server）
已修正版本
- jt-live-whisper2.22.2 以上2026-09-25
- jt-live-whisper2.34.0截至 2026-11-06 最新版本，2026-11-03，並包含後續各版的安全修正
建議處理方式
- 於安裝資料夾執行 ./install.sh --upgrade（macOS / Linux）或 .\install.ps1 -Upgrade（Windows）升級至最新版本，再重新啟動 WebUI
- 若受影響版本曾可由不受信任的主機連線，檢查安裝資料夾與執行 WebUI 的帳號下是否有不明檔案
暫時無法更新時
- 以防火牆限制 WebUI 連接埠（預設 19781）僅允許受信任的主機連線，或於不使用時停止 WebUI；設定 WebUI 密碼無法防護上傳功能
如何確認是否受影響
- 確認 start.sh / start.ps1 啟動時顯示的版本，或安裝資料夾內 translate_meeting.py 的 APP_VERSION，低於 2.22.2 即受影響
- WebUI 預設不保存存取紀錄，查無跡象不代表未遭利用
參考來源
本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。