ammonia / GHSA-x43w-36pp-96g3
CSS URL 大小寫處理缺口
上游公告指出，特定 CSS 清理設定未對大寫 URL() 套用預期的網址政策，可能讓追蹤圖片通過；公告明確說明不構成 XSS。
這筆證據支持什麼
Vettalon 供應鏈獵捕在 2026-10-14 UTC 找出 ammonia 4.1.7 的 needs_human 候選並產生揭露草稿；人工重現及送件後，上游修復。Ammonia 維護者在修補 PR 公開確認收到 zhixuli0406 的 email，RustSec 列 Louis Li 為通報者。指定政策測試在 4.2.3 為 3／5、官方 4.2.4 為 5／5。
測試方法
公開的來源節錄保留產品候選、待人工判定狀態與草稿產生紀錄。人工重現後送交上游；修補公開後，在隔離、離線環境對 4.2.3 與官方 4.2.4 執行相同五種 caller-policy 測試、七組輸入。
下載公開紀錄（JSON）Vettalon 發現與擬稿紀錄
歸檔的 Vettalon hunt 輸出列出 Ammonia 4.1.7 的 needs_human 候選，並記錄產生揭露草稿。公開附件只摘錄這一筆；完整原始 hunt.json、JSONL 行、原始 email 與寄件系統收據未公開；第三方無法只靠行雜湊獨立核對原始輸出。維護者在修補 PR 確認收到 email。
- 產品輸出日期
- 2026-10-14 UTC
- 判定
- needs_human
節錄附件 SHA-256
7bb0de375942bfd31ff6a2296db7fbbf4127997a6ca612b1d39d585a22c25413通報後的版本回歸驗證
表格中的「通過／失敗」是函式庫政策測試斷言結果。4.2.3 有兩項斷言失敗，官方 4.2.4 五項全通過。這是上游修補後的限定驗證；不能由此推論產品掃描完整流程或瀏覽器驗收。
| 政策測試 | 4.2.3 | 4.2.4 |
|---|---|---|
| 小寫 http | 通過 | 通過 |
| 大寫 HTTP | 失敗 | 通過 |
| HTTPS 正常控制 | 通過 | 通過 |
| 小寫相對路徑 | 通過 | 通過 |
| 混合大小寫相對路徑 | 失敗 | 通過 |
摘要附件 SHA-256
afa1001f97d97edbabc477436bbd88d9b82d5a0c481854edaab599448b14da3b上游公開歸屬
上游公開歸屬限制與前提
原始完整 hunt.json、當時原始碼位元組、原始 email 與寄件系統收據未找回；產品節錄不能單獨證明人工送件，上游維護者的公開留言則確認 email 收件。第二輪 4.2.3 比較的外層控制器因額外指紋檢查回報失敗，後以修正的唯讀驗證器核對已保存輸出，未重跑目標。未測瀏覽器載入、應用整合、4.1.8 或全部受影響版本；GHSA 未指派 CVE／CWE。
來源與歸屬
Vettalon 提出原始候選與揭露草稿。Louis Li 人工重現並送件；Ammonia 維護者在修補 PR 確認收到 email，RustSec 公開列 Louis Li 為通報者。維護者負責修補與公告。