jt-live-whisper

jt-live-whisper 於 2026 年 11 月 5 日發布安全公告 GHSA-ggpf-p5mq-8xxw：WebUI 對本機連線不要求密碼，置於反向代理後方時，部分代理設定下會誤判客戶端位址，將遠端請求視為本機，遠端攻擊者可不經驗證使用管理功能、開啟含密碼與權杖的本機限定設定頁，並繞過來源位址允許清單。

jt-live-whisper 於 2026 年 11 月 5 日發布兩則安全公告：GHSA-7m57-qfrp-hxfp（CVSS 3.1 評分 9.8，重大）指出 WebUI 檔案上傳功能不需驗證，且未充分檢查存放路徑與上傳大小，可從網路連線至 WebUI 者無須登入即可在錄音資料夾以外建立檔案，可能導致程式碼執行或記憶體耗盡；GHSA-3gqv-3c48-2q4w（評分 8.2，高）指出設定唯讀密碼時，遠端仍可不經驗證讀取逐字稿、摘要與錄音，且即時連線未套用密碼與來源位址檢查，可停止、暫停或靜音進行中的作業。