jt-live-whisperjt-live-whisper 於 2026 年 11 月 5 日發布安全公告 GHSA-ggpf-p5mq-8xxw：WebUI 對本機連線不要求密碼，置於反向代理後方時，部分代理設定下會誤判客戶端位址，將遠端請求視為本機，遠端攻擊者可不經驗證使用管理功能、開啟含密碼與權杖的本機限定設定頁，並繞過來源位址允許清單。影響早於 2.31.1 的版本，已於 2.31.1（2026-10-11）修正；未使用反向代理的部署不受影響。原廠 CVSS 3.1 評分 9.8（重大）。
影響版本
- jt-live-whisper 早於 2.31.1 且 WebUI 置於反向代理後方的部署
已修正版本
- jt-live-whisper2.31.1 以上2026-10-11
- jt-live-whisper2.34.0截至 2026-11-06 最新版本，2026-11-03，並包含後續各版的安全修正
建議處理方式
- 於安裝資料夾執行 ./install.sh --upgrade（macOS / Linux）或 .\install.ps1 -Upgrade（Windows）升級至最新版本
- 設定反向代理以 X-Forwarded-For 傳送客戶端位址，並將代理位址加入 config.json 的 webui.trusted_proxies，完成後重新啟動 WebUI；更新至修正版本後仍須完成此設定，否則仍可能無法正確辨識遠端請求
- 檢查反向代理的存取紀錄是否有不明的 WebUI 設定頁存取，並視需要更換設定頁中的密碼與權杖
暫時無法更新時
- 2.21.4 以上版本可先設定反向代理以 X-Forwarded-For 傳送客戶端位址，並將代理位址加入 config.json 的 webui.trusted_proxies，再重新啟動 WebUI
- 或於反向代理加上驗證，或停止透過反向代理開放 WebUI
如何確認是否受影響
- 確認 start.sh / start.ps1 啟動時顯示的版本，或安裝資料夾內 translate_meeting.py 的 APP_VERSION，低於 2.31.1 且置於反向代理後方即受影響
- WebUI 預設不保存存取紀錄，查無跡象不代表未遭利用
參考來源
本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。