2026年8月26日，在 (Holloway) Chew, Kean Ho 的 Actualizer v1.2.0 及以下版本中报告了一个安全漏洞（CVSS：7.9，高危[7]）。该工具假定 mkpasswd 命令始终能生成有效的 yescrypt 密码哈希。在已安装的 mkpasswd 不支持 yescrypt 的情况下，该命令反而会失败并产生空值。由于此逻辑缺陷，空值未经检查便被传递，最终成为构建镜像中的密码。因此，下游镜像的 root 和 alpha 用户账户均允许无密码登录。这意味着 v1.2.0 及以下版本存在以下漏洞：
修复方案已于2026年8月27日开发并发布为 (Holloway) Chew, Kean Ho 的 Actualizer v1.2.1，早于公开披露时间。用户只需使用 v1.2.1 及以上版本即可——仅此而已。 除此之外，本研究论文仅出于教育和参考目的，详细记录了整个安全事件。
为确保内容免受任何人在比特级（0|1）上的未经授权修改，内容使用一种或多种加密工具进行加密签名，包括但不限于：
公钥及关联证书已附上。只有主要所有者持有并维护私钥。要验证内容的完整性：
.asc 文件）。.gpg）。$ gpg --no-default-keyring --keyring /path/to/public.gpg --verify /path/to/file.asc
.sig/.sign 文件）。.pem）。$ openssl dgst -verify /path/to/pubkey.pem -signature /path/to/file.sig /path/to/file
关于项目对人工智能使用的政策，请参阅 AI_DECREES.md。
关于贡献与维护指南，请参阅 CONTRIBUTING.md。
整个仓库根据 知识共享署名-禁止演绎 4.0 国际许可协议 授权。为更好地理解此许可证，以下小节将简要说明如何部署内容。
对于注册的非营利组织（NGO），默认情况下您与任何营利组织一样被视为 商业实体。但是，您将有资格获得 NGO 拨款资助，并获得创作者授予的例外特权。
除非另有书面说明，否则您必须按以下方式向创作者署名：
Title: CVE-2026-85649
Creators: (Holloway) Chew, Kean Ho
Packaged-By: (Holloway) Chew, Kean Ho
Contact: [email protected]
CVD ID: CVE-2026-85649
GCVE ID: GCVE-1-2026-20023
GitHub Advisory ID: GHSA-3757-943V-G3C5
SKU: chewkeanho-research-cve-2026-85649
UUID: A90E844A-9BB6-483A-AAEC-2C77C9C3649F
DOI: 10.5281/zenodo.22169659
License: Creative Commons Attribution-NoDerivatives 4.0 International License (https://creativecommons.org/licenses/by-nd/4.0)
Repository Made On: 2026-08-31
Repository Made From: Malaysia, South East Asia
Procure: https://doi.org/10.5281/zenodo.22169659
[!NOTE]
此条款适用于希望拥有内容副本，且仅由本人使用而不与任何第三方实体共享的客户；并且无任何金钱意图，包括但不限于：
- 保存本地副本然后通过自己的移动设备查看；或
- 保存本地副本然后通过自己的个人电脑查看；或
- 保存本地副本用于人工智能数据训练目的。
只要您严格遵守许可证署名要求，您被允许这样做。
[!NOTE]
此条款适用于希望拥有内容副本，且仅由本人使用而不与任何第三方实体共享的客户；并且有任何金钱意图，包括但不限于：
- 保存本地副本以增强其公司的采购清单；或
- 保存本地副本用于商业人工智能数据训练目的。
只要您严格遵守许可证署名要求，您被允许这样做。
[!NOTE]
此条款适用于希望为任何第三方实体提供原始内容来源的引用或指南的客户，不直接展示原始内容的任何部分；无任何金钱意图，包括但不限于：
- 学术研究和论文写作；或
- 创建链接到原始内容的新内容，不展示任何原始内容，用于自己的流媒体平台；或
- 制作和收集链接到原始内容的内容，不展示任何原始内容；或
- 链接到原始内容的网页作品集项目，不展示任何原始内容；或
- 链接到原始内容的活动材料，不展示任何原始内容；或
- 链接到原始内容的会议材料，不展示任何原始内容；或
- 链接到原始内容的广告内容，不展示任何原始内容。
只要您严格遵守许可证署名要求，您被允许这样做。
[!NOTE]
此条款适用于希望将原始内容的部分而非全部内容按原样或在不进行任何保留原始意图、艺术方向和信息的重组混音或修改的情况下直接展示到其创作内容中的客户；无任何金钱意图，包括但不限于：
- 创建新内容并在自己的流媒体平台上展示原始内容的部分内容，无任何金钱收益；或
- 制作和收集展示原始内容部分内容的内容，无任何金钱收益；或
- 展示原始内容部分内容的网页作品集项目，无任何金钱收益；或
- 展示原始内容部分内容的活动材料，无任何金钱收益；或
- 展示原始内容部分内容的会议材料，无任何金钱收益。
只要您严格遵守许可证署名要求，您被允许这样做。
[!NOTE]
此条款适用于希望将原始内容的部分而非全部内容按原样或在不进行任何保留原始意图、艺术方向和信息的重组混音或修改的情况下直接展示到其创作内容中的客户；有任何金钱意图，包括但不限于：
- 创建新内容并在自己的流媒体平台上展示原始内容的部分内容；或
- 制作和收集展示原始内容部分内容的内容；或
- 展示原始内容部分内容的网页作品集项目；或
- 展示原始内容部分内容的活动材料；或
- 展示原始内容部分内容的会议材料；或
- 展示原始内容部分内容的广告材料。
只要您严格遵守许可证署名要求，您被允许这样做。
[!NOTE]
此条款适用于希望拥有并广泛修改原始内容，保留或改变原始意图、艺术方向或信息以创作其新内容的客户；无任何金钱意图，包括但不限于：
- 创建新内容，将经过数字修改和处理后的原始内容整合到自己的流媒体平台，无任何利润（包括广告佣金）；或
- 个人内容制作和收集，将经过数字修改和处理后的原始内容整合到自己的流媒体平台，无任何利润（包括广告佣金）；或
- 个人网页作品集项目，将经过数字修改和处理后的原始内容整合到自己的流媒体平台，无任何利润（包括广告佣金）；或
- 社交媒体表情包内容创作，将经过数字修改和处理后的原始内容整合到自己的流媒体平台，无任何利润（包括广告佣金）。
由于许可证限制，您不被允许这样做。
[!NOTE]
此条款适用于希望拥有并广泛修改原始内容，保留或改变原始意图、艺术方向或信息以创作其新内容的客户；有任何金钱意图，包括但不限于：
- 创建新内容，将经过数字修改和处理后的原始内容整合到自己的流媒体平台；或
- 个人内容制作和收集，将经过数字修改和处理后的原始内容整合到自己的流媒体平台；或
- 个人网页作品集项目，将经过数字修改和处理后的原始内容整合到自己的流媒体平台；或
- 社交媒体表情包内容创作，将经过数字修改和处理后的原始内容整合到自己的流媒体平台。
由于许可证限制，您不被允许这样做。
[!NOTE]
此条款适用于希望共享、广播、再分发、出售或转售原始、修改或衍生内容的客户，无任何金钱意图，包括但不限于：
- 与家庭成员共享；或
- 通过任何具有私人观众访问权限的流媒体平台播放内容；或
- 在画廊中向私人邀请的客人展示内容；或
- 在客厅等私人免费开放空间中展示内容；或
- 拥有原始内容的副本，并将其作为私有网络（例如自托管家庭网络）中网站上的可下载内容提供；或
- 通过社交媒体或消息应用程序（如电子邮件或即时通讯）共享原始内容。
只要您严格遵守许可证署名要求，您被允许这样做。
[!NOTE]
此条款适用于希望共享、广播、再分发、出售或转售原始、修改或衍生内容的客户，有任何金钱意图，包括但不限于：
- 通过任何具有公共或私人观众访问权限的流媒体平台播放内容；或
- 在任何公司的公共活动中展示内容，邀请免费或付费嘉宾；或
- 在任何公司的内部/私人活动中展示内容，邀请免费或付费嘉宾；或
- 拥有原始内容的副本，并将其作为其网站上任何网络（互联网、内联网或私有网络）中的免费或付费可下载内容提供；或
- 通过社交媒体或消息应用程序（如电子邮件或即时通讯）共享原始内容；或
- 通过多个盈利流媒体平台分发原始内容。
只要您严格遵守许可证署名要求，您被允许这样做。