📣 #发现频道
Quick Search Pro : Mac 上的 Listary/everything，全局热键秒搜文件和应用，支持拼音搜索
https://meta.appinn.net/t/topic/85307
Quick Search Pro : Mac 上的 Listary/everything，全局热键秒搜文件和应用，支持拼音搜索
https://meta.appinn.net/t/topic/85307
小众软件官方论坛
【开发者自荐】Apex闪搜：为中文用户设计的Mac文件搜索工具，支持拼音首字母秒搜
软件名称 Apex闪搜（原名：Quick Search Pro） 应用平台 macOS 13.0+ 官方网站 https://apps.apple.com/cn/app/quick-search-pro/id6759697376?mt=12 推荐类型 【开发者自荐】 一句简介 Mac 上为中文用户设计的极速文件搜索工具——输入 wx，秒找微信。支持拼音首字母、全拼、汉字混合搜索，模糊匹配不用记全名。 应用简介 Apex闪搜是一款 macOS 原生文件快速搜索工具。经过几个月迭代，现在更新到 v…
❤1
💧 #小众软件
豆包输入法 Mac 版正式上线｜语音输入法、拼音、双拼
下载地址：https://shurufa.doubao.com/pc
安装包 159MB，这是一个包括了AI语音输入，拼音、小鹤双拼和自然码的输入法。
默认按住 fn 快捷键说话，就能自动录入了。识别效率很高，速度很快，有语音输入需求的同学可以去试试。
目前还没有Windows版本。
此前，在2025年11月，豆包输入法分别上线了 iOS 版本与安卓版本。
豆包输入法 iPhone 版正式上线，该来的都来了
豆包输入法安卓版已上线，是时候二选一了
相关阅读豆包输入法安卓版已上线，是时候二选一了。豆包输入法 iPhone 版正式上线，该来的都来了七牛云赠送 1000 万 Token，可使用 DeepSeek、GLM、Minimax、Qwen 等主流模型朋友圈输入法 – 让朋友圈文字不再被折叠 iPhone字节跳动正式发布 Trae 国内版，集成 DeepSeek 与豆包
©2021 青小蛙 for 小众软件 | 加入我们 | 投稿 | 订阅指南 3659b075e72a5b7b1b87ea74aa7932ff
点击这里留言、和原作者一起评论 点击前往获取链接
https://www.appinn.com/doubao-shurufa-macos/
豆包输入法 Mac 版正式上线｜语音输入法、拼音、双拼
下载地址：https://shurufa.doubao.com/pc
安装包 159MB，这是一个包括了AI语音输入，拼音、小鹤双拼和自然码的输入法。
默认按住 fn 快捷键说话，就能自动录入了。识别效率很高，速度很快，有语音输入需求的同学可以去试试。
目前还没有Windows版本。
此前，在2025年11月，豆包输入法分别上线了 iOS 版本与安卓版本。
豆包输入法 iPhone 版正式上线，该来的都来了
豆包输入法安卓版已上线，是时候二选一了
相关阅读豆包输入法安卓版已上线，是时候二选一了。豆包输入法 iPhone 版正式上线，该来的都来了七牛云赠送 1000 万 Token，可使用 DeepSeek、GLM、Minimax、Qwen 等主流模型朋友圈输入法 – 让朋友圈文字不再被折叠 iPhone字节跳动正式发布 Trae 国内版，集成 DeepSeek 与豆包
©2021 青小蛙 for 小众软件 | 加入我们 | 投稿 | 订阅指南 3659b075e72a5b7b1b87ea74aa7932ff
点击这里留言、和原作者一起评论 点击前往获取链接
https://www.appinn.com/doubao-shurufa-macos/
Doubao
豆包输入法
高效输入，享受输出
💧 #小众软件
坦白了：一个普通网页，到底能知道你多少信息？
只需要访问一个网页，什么都不做，也不需要授权，就可以知道你的很多信息。这是真的！
现在，你只需要点击访问下面的网站：
https://baolu.appinn.com/
就可以看到，你的一些信息。
而这些信息，在网页加载完成之前，就发送完了。包括 IP地址、时间、语言、设备、电池、显卡、字体、屏幕等信息。
单独看，这些信息似乎没什么。
但组合在一起之后，它们就会变成一枚相当稳定的“浏览器指纹”。
很多网站即使不登录、不写 Cookie，也依然有机会认出“还是你”。
另外，关于鼠标键盘、停留时间的信息，我也是第一次具体的感受到：
你已经在这个页面上待了 70 秒。你向下滚动了 100% 。你还没有离开这个标签页 —— 如果离开了，我们会知道。你的鼠标已经移动了 78 次。你点击了 7 次。你最长停顿了 3 秒 —— 比页面上的其他地方都更久。我们不是在现在才开始计数。我们一直都在计数。
该网页保存了你上次访问的时间信息，可以在页面底部点击按钮清除。
原文：https://www.appinn.com/baolu-browser/
坦白了：一个普通网页，到底能知道你多少信息？
只需要访问一个网页，什么都不做，也不需要授权，就可以知道你的很多信息。这是真的！
现在，你只需要点击访问下面的网站：
https://baolu.appinn.com/
就可以看到，你的一些信息。
而这些信息，在网页加载完成之前，就发送完了。包括 IP地址、时间、语言、设备、电池、显卡、字体、屏幕等信息。
单独看，这些信息似乎没什么。
但组合在一起之后，它们就会变成一枚相当稳定的“浏览器指纹”。
很多网站即使不登录、不写 Cookie，也依然有机会认出“还是你”。
另外，关于鼠标键盘、停留时间的信息，我也是第一次具体的感受到：
你已经在这个页面上待了 70 秒。你向下滚动了 100% 。你还没有离开这个标签页 —— 如果离开了，我们会知道。你的鼠标已经移动了 78 次。你点击了 7 次。你最长停顿了 3 秒 —— 比页面上的其他地方都更久。我们不是在现在才开始计数。我们一直都在计数。
该网页保存了你上次访问的时间信息，可以在页面底部点击按钮清除。
原文：https://www.appinn.com/baolu-browser/
Appinn
你的浏览器暴露了什么？
一个中文隐私可视化网页：展示浏览器在不使用 Cookie 的情况下，仍能暴露出哪些可识别信号。
❤7
💧 #小众软件
npm 历史上首个蠕虫式供应链攻击：会自我传播
npm 出现了新攻击方式：TanStack Router 官方 npm 包被植入恶意代码。攻击者入侵了项目发布流程，上传了带后门的官方版本。这些包会窃取开发者电脑里的各种密钥，并尝试继续感染开发者拥有权限的其他 GitHub 仓库，再借 npm 进一步传播。
令人绝望的是：它绕过了现代 npm 生态最核心的一整套“信任链”：
发布者是真的
官方账号是真的
CI 是真的
provenance 是真的
npm 签名也是真的
但发布出去的代码，是恶意的。
另外，有安全研究员认为，这是 npm 历史上第一次出现真正“会自我传播”的蠕虫式供应链攻击。
到底发生了什么？
这次出问题的是 TanStack Router，一个非常流行的 JavaScript 路由库，在 npm 上每周下载量超过数百万次，被大量前端项目使用。
攻击者先从临时分枝提交了一段恶意代码。虽然这个提交很快就被关闭了，但项目的自动化系统还是运行了它。
这段代码随后污染了 CI 缓存。后来，另一个完全正常的更新触发正式发布流程时，系统再次读取了这个缓存，最终把恶意代码一起打包进了官方 npm 版本里。
T
https://www.appinn.com/tanstack-npm-compromise/
npm 历史上首个蠕虫式供应链攻击：会自我传播
npm 出现了新攻击方式：TanStack Router 官方 npm 包被植入恶意代码。攻击者入侵了项目发布流程，上传了带后门的官方版本。这些包会窃取开发者电脑里的各种密钥，并尝试继续感染开发者拥有权限的其他 GitHub 仓库，再借 npm 进一步传播。
令人绝望的是：它绕过了现代 npm 生态最核心的一整套“信任链”：
发布者是真的
官方账号是真的
CI 是真的
provenance 是真的
npm 签名也是真的
但发布出去的代码，是恶意的。
另外，有安全研究员认为，这是 npm 历史上第一次出现真正“会自我传播”的蠕虫式供应链攻击。
到底发生了什么？
这次出问题的是 TanStack Router，一个非常流行的 JavaScript 路由库，在 npm 上每周下载量超过数百万次，被大量前端项目使用。
攻击者先从临时分枝提交了一段恶意代码。虽然这个提交很快就被关闭了，但项目的自动化系统还是运行了它。
这段代码随后污染了 CI 缓存。后来，另一个完全正常的更新触发正式发布流程时，系统再次读取了这个缓存，最终把恶意代码一起打包进了官方 npm 版本里。
T
https://www.appinn.com/tanstack-npm-compromise/
小众软件
npm 历史上首个蠕虫式供应链攻击：会自我传播 - 小众软件
另外，有安全研究员认为，这是 npm 历史上第一次出现真正“会自我传播”的蠕虫式供应链攻击。
😱6
💧 #小众软件
Scrcpy 4.0 发布：远程控制安卓手机，让 Android 应用开始有“桌面化”体验
Scrcpy 是一款开源免费的电脑控制安卓工具，支持 Windows、macOS、Linux，Scrcpy v4.0 今日更新，新增弹性显示功能（Flex Display），让 Android 应用的界面会跟着窗口大小自动调整。@Appinn
大概就是，当你在电脑上拉宽 Scrcpy 窗口时，Android 会认为：“哦，我变成平板了。”
Flex Display 功能
以前的 scrcpy：
本质是“把手机画面录下来”
电脑窗口只是播放器
拉伸、缩放，本质都是视频缩放
现在的 scrcpy 4.0：
可动态调整 Android 虚拟显示器
Android 会真的重新布局
应用会认为屏幕尺寸变了
Scrcpy 4.0 的其他更新
SDL3：窗口体验明显更正常了
scrcpy 从 SDL2 升级到 SDL3。带来：
更稳定的全屏
更自然的窗口缩放
更好的高分屏与 Wayland 支持
黑边减少
keep-active：防止设备自动息屏
scrcpy --keep-active
会模拟用户一直在活动，让屏幕不在熄灭。
适合长时间
https://www.appinn.com/scrcpy-4-0/
Scrcpy 4.0 发布：远程控制安卓手机，让 Android 应用开始有“桌面化”体验
Scrcpy 是一款开源免费的电脑控制安卓工具，支持 Windows、macOS、Linux，Scrcpy v4.0 今日更新，新增弹性显示功能（Flex Display），让 Android 应用的界面会跟着窗口大小自动调整。@Appinn
大概就是，当你在电脑上拉宽 Scrcpy 窗口时，Android 会认为：“哦，我变成平板了。”
Flex Display 功能
以前的 scrcpy：
本质是“把手机画面录下来”
电脑窗口只是播放器
拉伸、缩放，本质都是视频缩放
现在的 scrcpy 4.0：
可动态调整 Android 虚拟显示器
Android 会真的重新布局
应用会认为屏幕尺寸变了
Scrcpy 4.0 的其他更新
SDL3：窗口体验明显更正常了
scrcpy 从 SDL2 升级到 SDL3。带来：
更稳定的全屏
更自然的窗口缩放
更好的高分屏与 Wayland 支持
黑边减少
keep-active：防止设备自动息屏
scrcpy --keep-active
会模拟用户一直在活动，让屏幕不在熄灭。
适合长时间
https://www.appinn.com/scrcpy-4-0/
小众软件
Scrcpy 4.0 发布：远程控制安卓手机，让 Android 应用开始有“桌面化”体验 - 小众软件
现在的 scrcpy 4.0：
❤3👍3
💧 #小众软件
Everything 1.5a 官方中文语言包终于来了
Everything 1.5.0.1409a 已经发布，自带了完整的官方中文语言包，所有菜单已翻译，选项界面也全部完成翻译，很难看到中英文夹杂的界面了。@Appinn
继2026年2月份Everything 1.5 Alpha 进入全面稳定期（1405），作为长期测试版的 Everything 1.5a 又发布了两几个新版本，目前最新版是 Everything 1.5.0.1409a，下载后自带中文语言包，而且是完整版本，包括界面、菜单、选项、右键菜单。
青小蛙找了一圈，暂时没有发现遗漏的翻译，堪称 Everything 完整中文版了。
来自 @小恐龙 的提醒：Everything 1.5终于有完整中文语言了。
如何开启内容搜索（索引文件内容）
Everything 1.5a 的一大特色就是支持内容搜索，默认支持：
.doc
.docx
.pdf
.txt
.xls
.xlsx
你也可以手动添加文件类型。
但需要手动开启这项功能，进入选项 > 内容，勾选 索引文件内容，就好了：
https://www.appinn.com/everything-1-5-0-1409a/
Everything 1.5a 官方中文语言包终于来了
Everything 1.5.0.1409a 已经发布，自带了完整的官方中文语言包，所有菜单已翻译，选项界面也全部完成翻译，很难看到中英文夹杂的界面了。@Appinn
继2026年2月份Everything 1.5 Alpha 进入全面稳定期（1405），作为长期测试版的 Everything 1.5a 又发布了两几个新版本，目前最新版是 Everything 1.5.0.1409a，下载后自带中文语言包，而且是完整版本，包括界面、菜单、选项、右键菜单。
青小蛙找了一圈，暂时没有发现遗漏的翻译，堪称 Everything 完整中文版了。
来自 @小恐龙 的提醒：Everything 1.5终于有完整中文语言了。
如何开启内容搜索（索引文件内容）
Everything 1.5a 的一大特色就是支持内容搜索，默认支持：
.doc
.docx
.txt
.xls
.xlsx
你也可以手动添加文件类型。
但需要手动开启这项功能，进入选项 > 内容，勾选 索引文件内容，就好了：
https://www.appinn.com/everything-1-5-0-1409a/
小众软件
Everything 1.5a 官方中文语言包终于来了 - 小众软件
Everything 1.5.0.1409a 已经发布，自带了完整的官方中文语言包，所有菜单已翻译，选项界面也全部完成翻译，很难看到中英文夹杂的界面了。@Appinn
❤5
💧 #小众软件
Linux 三爆提权漏洞 Fragnesia，一行代码，获得 root 权限｜CVE-2026-46300
从4月30日至今，Linux 已经连爆三起提权漏洞，只需要一行代码，立即获得系统 root 权限。
2026年4月30日：Copy Fail：2017年至今的漏洞，一个脚本获得 Linux root 管理员权限｜CVE-2026-31431
2026年5月8日：Linux 又爆 Dirty Frag 漏洞：Ubuntu、Debian、Arch、RHEL、WSL2 全中招｜CVE-2026-43284
2026年5月14日：Fragnesia：普通用户可通过 Linux 内核里的网络/加密处理逻辑，把只读文件在“页缓存”里的内容临时改掉，然后借此拿到 root
Fragnesia 漏洞
这次漏洞被叫做 Fragnesia，编号 CVE-2026-46300，得分 7.8 分。
Fragnesia 属于 Dirty Frag 漏洞家族，但并不是同一个漏洞，而是 Linux ESP/XFRM 模块中的另一处独立问题，因此需要单独修复。不过，两者影响的位置相似，临时缓解方法也一样。
攻击者可以利用 Linux 内核 ESP-in-TCP 子系统中的逻辑错误，只需要修改只读文件在内
https://www.appinn.com/linux-fragnesia-cve-2026-46300/
Linux 三爆提权漏洞 Fragnesia，一行代码，获得 root 权限｜CVE-2026-46300
从4月30日至今，Linux 已经连爆三起提权漏洞，只需要一行代码，立即获得系统 root 权限。
2026年4月30日：Copy Fail：2017年至今的漏洞，一个脚本获得 Linux root 管理员权限｜CVE-2026-31431
2026年5月8日：Linux 又爆 Dirty Frag 漏洞：Ubuntu、Debian、Arch、RHEL、WSL2 全中招｜CVE-2026-43284
2026年5月14日：Fragnesia：普通用户可通过 Linux 内核里的网络/加密处理逻辑，把只读文件在“页缓存”里的内容临时改掉，然后借此拿到 root
Fragnesia 漏洞
这次漏洞被叫做 Fragnesia，编号 CVE-2026-46300，得分 7.8 分。
Fragnesia 属于 Dirty Frag 漏洞家族，但并不是同一个漏洞，而是 Linux ESP/XFRM 模块中的另一处独立问题，因此需要单独修复。不过，两者影响的位置相似，临时缓解方法也一样。
攻击者可以利用 Linux 内核 ESP-in-TCP 子系统中的逻辑错误，只需要修改只读文件在内
https://www.appinn.com/linux-fragnesia-cve-2026-46300/
小众软件
14天内三爆 Linux 提权漏洞 Fragnesia，一行代码，获得 root 权限｜CVE-2026-46300 - 小众软件
这次漏洞被叫做 Fragnesia（PoC 仓库代码），编号 CVE-2026-46300，得分 7.8 分。
❤1
💧 #小众软件
Nginx rewrite 模块爆高危漏洞：可能已经存在十几年｜CVE-2026-42945
Nginx 是一款被广泛使用的 HTTP 服务器软件。2026 年 5 月 13 日官方披露常用模组 rewrite 存在安全漏洞。攻击者可通过构造特殊 HTTP 请求触发该漏洞，导致 Nginx 工作进程发生堆缓冲区溢出，进而造成进程崩溃或服务重启。@Appinn
在部分关闭了地址空间布局随机化（ASLR）的系统中，攻击者还有可能进一步执行任意代码。
漏洞代码 CVE-2026-42945 得分 8.1 分，属于较高。
发生了什么？
感谢 @Niceb 同学的提醒。
在 Nginx 的 ngxhttprewritemodule 模组中，发现了一个存在多年的内存漏洞，攻击者可通过构造特殊 HTTP 请求，在 nginx 处理 rewrite 规则时触发堆缓冲区溢出，导致工作进程崩溃、服务重启。
漏洞位置：ngxhttprewritemodule
类型：堆缓冲区溢出（heap buffer overflow）
影响：可能导致远程代码执行（RCE）
攻击条件：攻击者不需要登录，可以通过构造 HTTP 请求触发
触发条件：需要 nginx 配置中存在特定 re
https://www.appinn.com/nginx-rewrite-rce-cve-2026-42945/
Nginx rewrite 模块爆高危漏洞：可能已经存在十几年｜CVE-2026-42945
Nginx 是一款被广泛使用的 HTTP 服务器软件。2026 年 5 月 13 日官方披露常用模组 rewrite 存在安全漏洞。攻击者可通过构造特殊 HTTP 请求触发该漏洞，导致 Nginx 工作进程发生堆缓冲区溢出，进而造成进程崩溃或服务重启。@Appinn
在部分关闭了地址空间布局随机化（ASLR）的系统中，攻击者还有可能进一步执行任意代码。
漏洞代码 CVE-2026-42945 得分 8.1 分，属于较高。
发生了什么？
感谢 @Niceb 同学的提醒。
在 Nginx 的 ngxhttprewritemodule 模组中，发现了一个存在多年的内存漏洞，攻击者可通过构造特殊 HTTP 请求，在 nginx 处理 rewrite 规则时触发堆缓冲区溢出，导致工作进程崩溃、服务重启。
漏洞位置：ngxhttprewritemodule
类型：堆缓冲区溢出（heap buffer overflow）
影响：可能导致远程代码执行（RCE）
攻击条件：攻击者不需要登录，可以通过构造 HTTP 请求触发
触发条件：需要 nginx 配置中存在特定 re
https://www.appinn.com/nginx-rewrite-rce-cve-2026-42945/
小众软件
Nginx rewrite 模块爆高危漏洞：可能已经存在十几年｜CVE-2026-42945 - 小众软件
漏洞代码 CVE-2026-42945 得分 8.1 分，属于较高。
❤1