إذا كنت تستخدم SillyTavern من هاتفك أو جهاز كمبيوتر آخر، فهناك ثغرات أمنية خطيرة تتطلب فحص إعداداتك فوراً. تشمل هذه الثغرات إصلاح Node Brotli الذي يتم استغلاله بنشاط.
انتباه مستخدمي SillyTavern الذين يصلون إلى إعداداتهم عن بعد! هناك وضع أمني عاجل تحتاجون لمعالجته فوراً. إذا كنت تستخدم SillyTavern من هاتفك، أو جهاز كمبيوتر آخر، أو أي جهاز خارج جهازك الرئيسي عن طريق تفعيل `listen: true`، فعليك الانتباه: قد تكون عرضة لثغرات أمنية خطيرة.
ماذا يعني هذا بالنسبة لك؟ حسناً، هناك خطأ حرج في Node.js (CVE-2026-111497) يؤثر على SillyTavern وقد تم استغلاله بنشاط، بل وقد أُدرج في قائمة CISA للثغرات الأمنية المستغلة. والأكثر إثارة للقلق، أنه حتى أواخر أكتوبر 2026، كانت صورة Docker الرسمية لـ SillyTavern لا تزال تحتوي على إصدار Node غير مُحدّث. هذا يعني أن إعدادات الوصول عن بعد لديك قد تكون هدفاً سهلاً إذا لم يتم تأمينها بشكل صحيح.
إذن، ما الذي يجب عليك فعله الآن؟ نوصي بفحص ثلاثة أمور حاسمة:
1. **إصدار SillyTavern الخاص بك:** الإصدارات القديمة تشكل خطراً كبيراً. فقد نُشر 11 CVE (نقاط ضعف ونقاط ضعف مشتركة) لـ SillyTavern في عام 2026 وحده. إصدار 1.16.0 أصلح واحدة، و 1.17.0 أصلح أربعاً، و 1.18.0 أصلح ستاً. إذا كنت تستخدم أي إصدار أقدم من 1.18.0، فأنت عرضة لمشكلات معروفة. تأكد من التحديث!
2. **تصحيح أمان Node.js:** تحقق مما إذا كان تثبيت Node.js لديك يحتوي على التصحيح الأمني الصادر في 21 أكتوبر 2026. هذا أمر بالغ الأهمية لإصلاح Brotli.
3. **`privateAddressWhitelist` في `config.yaml`:** افحص ملف `config.yaml` الخاص بك. يعتبر `privateAddressWhitelist` إعداداً رئيسياً للتحكم في من يمكنه الاتصال. بينما تتضمن الإصدارات الأحدث (1.18.0 وما فوق) فلتر عناوين خاصة، فإنه يكون معطلاً افتراضياً. لذا، حتى لو كان لديك إصدار أحدث، فقد تحتاج إلى تفعيل هذا الإعداد.
إذا قمت بتشغيل SillyTavern مرة واحدة مع `listen: true` دون مصادقة أساسية، أو حسابات مستخدمين، أو قائمة بيضاء، فقد تكون قد رأيت رسالة تحذير أو قد تم إيقافه. ومع ذلك، كن حذراً: إعداد `securityOverride: true` سيسمح للخادم بالبدء حتى مع التكوينات غير الآمنة، فقط سيسجل تحذيراً. دائماً أعطِ الأولوية لضوابط الوصول المناسبة مثل القائمة البيضاء أو المصادقة الأساسية. وجود 'Warning: line saying the private address filter is off' أو رسالة 'Blocked connection from' يشير إلى أن أمانك يعمل، لكن كون الفلتر الافتراضي معطلاً يعني أنك بحاجة لتفعيله إذا كنت تعتمد عليه. ابقوا بأمان!
ماذا يعني هذا بالنسبة لك؟ حسناً، هناك خطأ حرج في Node.js (CVE-2026-111497) يؤثر على SillyTavern وقد تم استغلاله بنشاط، بل وقد أُدرج في قائمة CISA للثغرات الأمنية المستغلة. والأكثر إثارة للقلق، أنه حتى أواخر أكتوبر 2026، كانت صورة Docker الرسمية لـ SillyTavern لا تزال تحتوي على إصدار Node غير مُحدّث. هذا يعني أن إعدادات الوصول عن بعد لديك قد تكون هدفاً سهلاً إذا لم يتم تأمينها بشكل صحيح.
إذن، ما الذي يجب عليك فعله الآن؟ نوصي بفحص ثلاثة أمور حاسمة:
1. **إصدار SillyTavern الخاص بك:** الإصدارات القديمة تشكل خطراً كبيراً. فقد نُشر 11 CVE (نقاط ضعف ونقاط ضعف مشتركة) لـ SillyTavern في عام 2026 وحده. إصدار 1.16.0 أصلح واحدة، و 1.17.0 أصلح أربعاً، و 1.18.0 أصلح ستاً. إذا كنت تستخدم أي إصدار أقدم من 1.18.0، فأنت عرضة لمشكلات معروفة. تأكد من التحديث!
2. **تصحيح أمان Node.js:** تحقق مما إذا كان تثبيت Node.js لديك يحتوي على التصحيح الأمني الصادر في 21 أكتوبر 2026. هذا أمر بالغ الأهمية لإصلاح Brotli.
3. **`privateAddressWhitelist` في `config.yaml`:** افحص ملف `config.yaml` الخاص بك. يعتبر `privateAddressWhitelist` إعداداً رئيسياً للتحكم في من يمكنه الاتصال. بينما تتضمن الإصدارات الأحدث (1.18.0 وما فوق) فلتر عناوين خاصة، فإنه يكون معطلاً افتراضياً. لذا، حتى لو كان لديك إصدار أحدث، فقد تحتاج إلى تفعيل هذا الإعداد.
إذا قمت بتشغيل SillyTavern مرة واحدة مع `listen: true` دون مصادقة أساسية، أو حسابات مستخدمين، أو قائمة بيضاء، فقد تكون قد رأيت رسالة تحذير أو قد تم إيقافه. ومع ذلك، كن حذراً: إعداد `securityOverride: true` سيسمح للخادم بالبدء حتى مع التكوينات غير الآمنة، فقط سيسجل تحذيراً. دائماً أعطِ الأولوية لضوابط الوصول المناسبة مثل القائمة البيضاء أو المصادقة الأساسية. وجود 'Warning: line saying the private address filter is off' أو رسالة 'Blocked connection from' يشير إلى أن أمانك يعمل، لكن كون الفلتر الافتراضي معطلاً يعني أنك بحاجة لتفعيله إذا كنت تعتمد عليه. ابقوا بأمان!
