本周 3 个真正该关注的 OSS 版本：Gitea、SiYuan、Keycloak 的安全发布

每天收到一堆 changelog：这里一个 patch、那里一个 minor、还有看起来像重写的。站会前读不完十四份 changelog，大部分人skim 标题、合并看起来无聊的、给那份不太一样的留个标签页——然后那个标签页挂一周。

问题不是懒，是列表按日期排序，而日期不能告诉你一个发布是否需要你反应。新鲜度不等于影响力。一个给内部函数改名的 patch 和一个补关键漏洞的 patch 在通知流里长得一模一样。

什么算"实质性"发布

一个发布要算 material，至少过四道之一：破坏性变更（有东西不再按原来的方式工作）；许可证变更（你运作的条款变了）；安全相关默认或行为变更（访问控制、认证、漏洞修复）；弃用或重大新能力（有东西要消失，或有东西成为承重结构）。四条都不中的就是例行维护——可能仍值得合并，但不是决策。

筛信号前先问四个问题：changelog 命名了实际行为变化，还是只是带徽章的版本号？谁真正在受影响范围内——是你，还是你没跑的配置？有主源（release 页、安全公告、迁移指南）还是只有 tag 和 badge？什么都不做会怎样——有时诚实的答案是"什么也不会"，这也有用。

Gitea v1.27.3：自托管者的必读

2026-08-29 发布，非预发布。release notes 以 SECURITY 段开头而不是 ENHANCEMENTS：包 token 作用域处理、附件路径强制、markup 里同仓库 issue 访问、Actions 产物签名、隐藏受限用户、fork-PR 信任边界、hook 权限、仓库创建 token 授权都有修复。页面没标 CVE 和 CVSS 分。自托管 Gitea 的实例自己看：页面没列每个修复覆盖哪些旧版本，打开 SECURITY 列表对照你实例实际暴露的面。Gitea Cloud 在维护窗口自动升级，不用你决策。许可证不变（MIT）。

SiYuan v3.8.2：GHSA-7h8j-qw37-w46g，CVSS 9.0

2026-08-30 发布。changelog 只有一行"Some security vulnerabilities"，链接到 issue #18837。值得点名的是 GHSA-7h8j-qw37-w46g：Critical、CVSS 9.0，不完整的资源块名单让之前修掉的存储型 XSS 回来了。受影响版本 <= 3.8.1，3.8.2 修复。公告 2026-08-19 发布、无 CVE ID。公告特别指出：捆绑 pandoc 的桌面构建比官方 Docker 容器（不带 pandoc）影响更高——选安装方式时这个区别要算进去。许可证不变（AGPL v3）。

Keycloak 26.7.3：一打 CVE

2026-08-31 发布，标记 Latest。这是 CVE 批量而非单修：CVE-2026-35563 是 LDAP 客户端不验证服务器证书主机名；CVE-2026-16093 是无符号头绕过签名 JWT 断言策略；CVE-2026-16089 让授权码被重定向到不同客户端会话。同批还有 token-exchange 租户和托管域名绕过（CVE-2026-18215、CVE-2026-18214）以及 FGAP v2 授权 bug。release 页没说明各 CVE 覆盖哪些旧 patch 级别，但标了组件：OIDC、LDAP、organizations、token-exchange、FGAP v2。你的 Keycloak 用到这些就是你的发布。

其余的火线

没达标的：Wiki.js 3.0.0-beta.537 正文一行"3.x Beta – Not for production use"；n8n@2.37.7 只有 compare 头和徽章，无特性/修复/安全说明。另有几个被检查后有意排除：Outline v1.10.0 的 LICENSE 自己写明 BSL 1.1 不是开源许可证；AppFlowy-Cloud 2026-09-01 归档（弃用公告，非版本发布）；Kubernetes v1.37.0 时间落在本周窗口外。

给工程团队的实践：把"按日期排序的 firehose"换成"按影响力排序的看板"——依赖机器人负责送达，人只负责过"四条之一+四个问题"的闸门；安全类发布优先核对主源（GHSA/CVE 公告）而非 release 页摘要；正文与公告日期、受影响版本、安装方式差异都要记录进升级工单。

来源：Three OSS Release Changes This Week That Actually Change Something - DEV Community