CodeBuddy Code v2.70.1 发布 ​

🔒 安全修复 ​

CORS 跨域攻击防护 ​

修复了本地 Gateway 服务（cbc --serve）存在的跨域请求安全漏洞。此前，恶意网页可通过 JavaScript 跨域访问用户本地 localhost 服务，执行 Agent 命令或窃取输出数据。

主要修复内容：

  • 替换框架默认的 Access-Control-Allow-Origin: * 为精确白名单机制，仅允许 localhost、127.0.0.1 和 Tunnel URL 的跨域请求
  • 新增 Host 头验证中间件，防止 DNS Rebinding 攻击
  • 修复 SSE 流式端点的 CORS 通配符漏洞
  • 默认绑定地址从 0.0.0.0 改为 127.0.0.1，避免服务暴露到局域网

🔧 改进优化 ​

  • 自定义跨域规则：支持通过环境变量 CODEBUDDY_CODE_CORS_ORIGINS（逗号分隔）或 Settings 配置 gateway.corsOrigins 自定义允许的跨域源，满足特殊场景需求