2026-05-31 打工人日报

GitHub 热门榜单

排名 1:/microsoft/markitdown

• 简介: 用于将文件和办公文档转换为Markdown的Python工具。
• URL: https://github.com/microsoft/markitdown
• 作者: microsoft

排名 2:/harry0703/MoneyPrinterTurbo

• 简介: 利用AI大模型，一键生成高清短视频 使用AI LLM一键生成短视频。
• URL: https://github.com/harry0703/MoneyPrinterTurbo
• 作者: harry0703

排名 3:/anthropics/claude-code

• 简介: Claude Code是一个代理编码工具，它位于您的终端中，了解您的代码库，并通过执行常规任务、解释复杂代码和处理git工作流来帮助您更快地编码——所有这些都是通过自然语言命令完成的。
• URL: https://github.com/anthropics/claude-code
• 作者: anthropics

排名 4:/cursor/plugins

• 简介: 游标插件规范和官方插件
• URL: https://github.com/cursor/plugins
• 作者: cursor

排名 5:/revfactory/harness

• 简介: 一种元技能，设计特定领域的代理团队，定义专门的代理，并生成他们使用的技能。
• URL: https://github.com/revfactory/harness
• 作者: revfactory

排名 6:/EveryInc/compound-engineering-plugin

• 简介: Claude Code、Codex、Cursor等官方复合工程插件
• URL: https://github.com/EveryInc/compound-engineering-plugin
• 作者: EveryInc

排名 7:/affaan-m/ECC

• 简介: 代理线束性能优化系统。Claude Code、Codex、Opencode、Cursor等的技能、直觉、记忆、安全和研究优先开发。
• URL: https://github.com/affaan-m/ECC
• 作者: affaan-m

排名 8:/OpenBMB/VoxCPM

• 简介: VoxCPM2：用于多语言语音生成、创意语音设计和逼真克隆的无令牌TTS
• URL: https://github.com/OpenBMB/VoxCPM
• 作者: OpenBMB

排名 9:/galilai-group/stable-worldmodel

• 简介: 可重复世界模型研究和评估平台
• URL: https://github.com/galilai-group/stable-worldmodel
• 作者: galilai-group

排名 10:/Crosstalk-Solutions/project-nomad

• 简介: N.O.M.A.D项目是一台自给自足的离线生存计算机，配备了关键工具、知识和人工智能，让你随时随地都能获得信息和能力。
• URL: https://github.com/Crosstalk-Solutions/project-nomad
• 作者: Crosstalk-Solutions

排名 11:/run-llama/liteparse

• 简介: 一个快速、有用且开源的文档解析器
• URL: https://github.com/run-llama/liteparse
• 作者: run-llama

排名 12:/chen08209/FlClash

• 简介: 基于ClashMeta的多平台代理客户端，简单易用，开源且无广告。
• URL: https://github.com/chen08209/FlClash
• 作者: chen08209

排名 13:/FareedKhan-dev/train-llm-from-scratch

• 简介: 一种训练LLM的简单方法，从下载数据到生成文本。
• URL: https://github.com/FareedKhan-dev/train-llm-from-scratch
• 作者: FareedKhan-dev

排名 14:/ruvnet/RuView

• 简介: πRuView将商用WiFi信号转化为实时空间智能、生命体征监测和存在检测，所有这些都不需要一个像素的视频。
• URL: https://github.com/ruvnet/RuView
• 作者: ruvnet

排名 15:/DataTalksClub/data-engineering-zoomcamp

• 简介: 数据工程Zoomcamp是一门为期9周的免费课程，内容是构建生产就绪的数据管道。下一批将于2026年1月开始。在此处加入课程👇🏼
• URL: https://github.com/DataTalksClub/data-engineering-zoomcamp
• 作者: DataTalksClub

排名 16:/OpenMOSS/MOSS-TTS

• 简介: MOSS-TTS系列是MOSI的一个开源语音和声音生成模型系列。AI和OpenMOSS团队。它专为高保真、高表现力和复杂的现实世界场景而设计，涵盖稳定的长篇语音、多人对话、语音/字符设计、环境音效和实时流媒体TTS。
• URL: https://github.com/OpenMOSS/MOSS-TTS
• 作者: OpenMOSS

排名 17:/dreammis/social-auto-upload

• 简介: 自动化上传视频到社交媒体：抖音、小红书、视频号、tiktok、youtube、bilibili
• URL: https://github.com/dreammis/social-auto-upload
• 作者: dreammis

排名 18:/anthropics/skills

• 简介: 智能体技能公共仓库
• URL: https://github.com/anthropics/skills
• 作者: anthropics

排名 19:/codecrafters-io/build-your-own-x

• 简介: 通过从头开始重新创建您最喜欢的技术来掌握编程。
• URL: https://github.com/codecrafters-io/build-your-own-x
• 作者: codecrafters-io

v2ex 热门帖子

• 1.HyperAPI的新老用户来领福利了
• 2.偶然发现又开拓了一条搞钱的渠道，后知后觉啊，着手Allin油管和个人网站做内容了
• 3.AI原生开发，大伙能分享一下经验吗？
• 4.ChatGPTPro5X双倍结束，建议升级Pro20X
• 5.edge浏览器就算使用了diskcache有时候还是会卡一两秒的真实原因可能是什么？能不能解决？
• 6.在Planet里用RSS订阅Analogue的固件更新日志，然后用Gemma4总结的效果
• 7.求推荐靠谱机场
• 8.5月31日注册免费5.5用到晚上12点，开签到了！0.08倍率

热点新闻

消息人士向 Axios 证实， 英伟达预计将于下周推出首批采用其芯片作为主处理器的 Windows 电脑。

消息人士向 Axios 证实， 英伟达预计将于下周推出首批采用其芯片作为主处理器的 Windows 电脑。
英伟达和微软将在两个重要的行业会议上展示他们的合作成果以及首批搭载这些芯片的计算机——台湾的 Computex 贸易展和微软在旧金山举办的 Build 开发者大会。
消息人士证实，搭载英伟达芯片的个人电脑预计将来自微软自家的 Surface 品牌以及其他计算机制造商，包括戴尔。

🎬 【深度解读】华为逻辑折叠是什么？草履虫都能看懂的技术解析

【深度解读】华为逻辑折叠是什么？草履虫都能看懂的技术解析

做完这期视频，心情相当感慨。
去年大家群嘲的两个14纳米相加等于7纳米，可能要以一种不可思议的方式发生了。
物理还是物理，人类也没有战胜任何自然法则，但我们不再试图撞穿那堵墙，而是选择绕过去。

@老戴Donald:

发布视频

Video is too big

↩️ 重要/漏洞：Linux CIFS/SPNEGO key description 存在本地提权漏洞

重要/漏洞：Linux CIFS/SPNEGO key description 存在本地提权漏洞

漏洞编号：暂无公开 CVE / PoC 名称：CIFSwitch
重要等级：需要关注的（本地提权风险）
CVSS 分数：无

影响范围：

受影响组件：Linux kernel CIFS client、cifs-utils、request-key / keyutils、cifs.upcall
受影响代码路径：
Linux kernel：fs/smb/client/cifs_spnego.c
cifs-utils：cifs.upcall.c

受影响功能：

CIFS Kerberos/SPNEGO upcall；
cifs.spnego key description 处理；
request-key 触发 cifs.upcall 的逻辑；
cifs.upcall namespace 切换与 NSS 查询逻辑。

主要受影响配置：

系统安装了 cifs-utils / keyutils，并存在 active cifs.spnego request-key 规则；
CIFS 模块可加载或已编译进内核；
允许非特权用户创建 user namespace / mount namespace；
AppArmor、SELinux 或其他 LSM 策略未阻断该 namespace / NSS 触发链；
本地低权限用户可在目标主机上执行程序。

注意：仅安装 Linux 内核但未安装 cifs-utils，或系统不存在可用 cifs.spnego request-key 规则，通常无法通过公开 PoC 触发该链路；禁用了非特权 user namespace、LSM 策略有效阻断、或已升级到包含上游修复的内核，也会显著降低或消除当前 PoC 风险。该漏洞不需要实际连接 CIFS/SMB 服务器，关键条件是本地 cifs.spnego upcall 链路可被触发。

漏洞原理：
该漏洞链出现在 Linux CIFS/SPNEGO upcall 的内核与用户态辅助程序协作边界中。正常情况下，CIFS 内核客户端在需要 Kerberos/SPNEGO 认证材料时，会构造 cifs.spnego key description，并通过 request_key() 触发用户态 helper cifs.upcall。该 description 中包含 pid、uid、creduid、upcall_target 等具有安全语义的字段，cifs.upcall 会将其视为来自内核的可信输入。

漏洞链由三个核心缺陷组成：

1. 内核侧 cifs.spnego description 来源校验缺失
修复前，fs/smb/client/cifs_spnego.c 中的 cifs_spnego_key_type 未配置 .vet_description 校验。结果是，非特权用户可以直接调用 request_key("cifs.spnego", forged_description, ...)，自行伪造包含 pid、uid、creduid、upcall_target 等字段的 cifs.spnego description。即使最终 key 请求失败，request-key helper 已经被触发，攻击链仍可继续。

2. cifs.upcall 信任攻击者可控的 pid / upcall_target
cifs-utils 的 cifs.upcall.c 会解析 key description 中的 pid、uid、creduid、upcall_target 等字段。当 upcall_target=app 时，cifs.upcall 会根据 description 中的 pid 调用 switch_to_process_ns(pid)，进入该进程所在 namespace。
在 description 来源不可验证的情况下，pid 变成了攻击者控制 root helper 运行视图的入口。攻击者可让 pid 指向处于私有 user/mount namespace 内的触发进程，从而诱导 root 身份运行的 cifs.upcall 进入攻击者控制的 mount namespace。

3. NSS 查询发生在最终降权之前
cifs.upcall 在切换 namespace 后，会执行 getpwuid(uid) 查询用户信息，然后才进行 setgid()、setuid() 和 drop_all_capabilities()。NSS 查询会读取当前 mount namespace 中的 /etc/nsswitch.conf，并按配置加载 libnss_*.so.2。
攻击者在私有 mount namespace 中准备伪造的 /etc/nsswitch.conf 和攻击者控制的 libnss_pwn.so.2 后，可让 root 身份运行的 cifs.upcall 在最终降权前加载恶意 NSS 模块。恶意 NSS 模块 constructor 以 root 权限执行，从而写入 sudoers 或执行等价 root 代码路径，最终实现本地低权限用户提权至 root。

受影响组件：

Linux kernel CIFS client
cifs-utils / cifs.upcall
keyutils / request-key
系统 request-key 配置

受影响对象：

安装 cifs-utils 并启用默认 cifs.spnego request-key 规则的 Linux 主机；
允许本地低权限用户登录或执行代码的多用户服务器；
CI runner、构建机、容器宿主机、云主机、研发测试环境；
启用了非特权 user namespace / mount namespace 且未被 LSM 策略阻断的系统；

处置建议:
1. 优先升级内核
2. 如果业务不需要 CIFS/SMB 挂载，建议卸载 cifs-utils / keyutils，或阻止 cifs 模块加载。
3. 如果业务需要 CIFS 但不需要 Kerberos/SPNEGO CIFS 认证，可临时禁用或覆盖 cifs.spnego upcall 规则。注意该操作会影响依赖 Kerberos/SPNEGO 的 CIFS 挂载。

参考链接：Github

Linux系统曝出cifs.upcall本地权限提升漏洞概念验证代码

Linux系统曝出cifs.upcall本地权限提升漏洞概念验证代码

安全研究人员近日公布了针对Linux系统cifs-utils工具包中cifs.upcall组件的本地权限提升漏洞概念验证代码（PoC）。该漏洞源于系统在处理特定内核密钥请求回调时，未能安全地隔离用户命名空间。低权限攻击者通过伪造cifs.spnego类型的请求，可诱导高权限的cifs.upcall进程加载恶意的名称服务切换（NSS）动态链接库。

代码表明，攻击者利用该缺陷可在私有命名空间内篡改系统配置文件，进而通过在sudoers目录中写入特定配置或创建根权限Shell，最终在宿主机命名空间内跨越权限边界，将普通用户权限提升至完全的Root最高权限。目前，相关Linux发行版正在积极推进补丁修复工作，建议系统管理员及时关注并升级相关组件。

来源：Github

特朗普称将对伊做出最终决定 哈萨克斯坦或接收伊浓缩铀

特朗普称将对伊做出最终决定 哈萨克斯坦或接收伊浓缩铀

美国总统特朗普日前表示，伊朗须承诺永不拥有核武器，并要求霍尔木兹海峡立即免税开放。他指出，美方已解除海上封锁，并将在国际原子能机构（IAEA）协助下挖掘并销毁伊朗此前的浓缩核材料。特朗普称正前往白宫战情室做出最终决定，舆论普遍将其视为美伊达成协议的信号。

与此同时，国际原子能机构总干事格罗西透露，若美伊顺利达成核协议，哈萨克斯坦已表态愿意接收并储存伊朗现有的约440公斤高浓缩铀。该批核材料的去向曾是美伊谈判的核心障碍之一，此举有望为化解中东紧张局势带来转机。

来源：Iran International English / FinancialJuice

上证50更换5只样本股 科创50指数更换4只样本股

上证50更换5只样本股 科创50指数更换4只样本股

金十数据5月29日讯，上证50指数样本调入特变电工、生益科技、中国铝业、华泰证券、兆易创新，于2026年6月12日收市后生效。

科创50指数样本调入华虹公司、源杰科技、摩尔线程、沐曦股份，于2026年6月12日收市后生效。

↩️ 国内航司燃油附加费自6月5日起下调

国内航司燃油附加费自6月5日起下调

自2026年6月5日（出票日期）起，成人旅客：800公里以上航线每位旅客收取150元燃油附加费，800公里(含)以下航线每位旅客收取80元燃油附加费。相较于调整前降低了20元/10元。燃油附加费降低将减少的出游成本。

来源：界面新闻

↩️ 中国收紧跨境资产监管以拓宽地方财政税源

中国收紧跨境资产监管以拓宽地方财政税源

受国内土地出让收入下滑等因素影响，中国地方政府正积极开拓新财源，多部门近期联合启动了数十年来最大规模的跨境税收与跨境证券投资整治。富途控股、老虎证券及长桥证券等券商因无牌照经营遭重罚整改，监管层同时向富裕阶层的离岸信托及海外资产加大追税力度。

分析指出，由于过去五年地方土地相关收入大幅缩水近半，财政缺口迫使监管部门将视线转向此前游离于灰色地带的跨境财富。此轮行动通过强化银行合规、追缴投资欠税等穿透式监管手段，在严控资金外流、防范金融风险的同时，实质上也在重新构建和扩大高净值人群的跨境税基。

来源：彭博社

🎬 【速报】就在刚刚，新格伦运载火箭在NG-4发射任务的静态点火试验前发生剧烈爆炸。

【速报】就在刚刚，新格伦运载火箭在NG-4发射任务的静态点火试验前发生剧烈爆炸。

@云上天镜SpaceLens:

发布视频

热点新闻

热点新闻

日本首相高市早苗5月30日在东京出席“要求立即一次性全部送还所有被绑架人员的国民集会”时发表了讲话。 高市称，美韩元首均支持日本在解决绑架问题上的努力。日…

日本首相高市早苗5月30日在东京出席“要求立即一次性全部送还所有被绑架人员的国民集会”时发表了讲话。
高市称，美韩元首均支持日本在解决绑架问题上的努力。日本政府将依据日朝《平壤宣言》，通过对话和具体行动推动两国关系发展。她说：“为了双方国民和人民，也为了未来的年青人们，我希望同金正恩委员长一道迈出勇敢的一步。”
今年早些时候的3月23日，金与正朝党中央总务部长就当时高市对实现两国首脑会谈表示强烈意愿事发表谈话称，如果日本首相想要解决“我们连承认都不承认的、日本单方面提出的”议题，朝鲜领导层就无意见面，也不会与其坐在一起，“虽然这完全是我个人的立场，但我不想看到日本首相来平壤的情景。”
（日本首相官邸，朝中社，KBS）

↩️ 关志鸥（自然资源部长）任湖北省委书记，王忠林（1962年8月生）不再担任，另有任用。中组部5月30日到湖北宣布中共中央决定。 丁向群（中国人保董事长）任金…

关志鸥（自然资源部长）任湖北省委书记，王忠林（1962年8月生）不再担任，另有任用。中组部5月30日到湖北宣布中共中央决定。
丁向群（中国人保董事长）任金融监管总局党委书记。中组部5月29日下午到金监局宣布中共中央决定。
（湖北日报，金融监管总局）

↩️ 新加坡外交部长维文结束东北亚三国访问行程后接受新媒总结访问时，谈及对朝鲜最新发展态势的观察。他认为，在疫情冲击、外部制裁下，朝鲜仍持续展现出经济…

新加坡外交部长维文结束东北亚三国访问行程后接受新媒总结访问时，谈及对朝鲜最新发展态势的观察。他认为，在疫情冲击、外部制裁下，朝鲜仍持续展现出经济进步的迹象，平壤已具备现代城市的基本面貌。当前，朝鲜已明确不接受任何统一的可能性，且立场因“国内因素”日益强化；无意与美日韩接触对话，更专注于推动自力更生，强化军事威慑能力。维文邀请崔善姬出席今年7月举行的东盟地区论坛。采访中，维文并称新加坡不会主动承担任何沟通渠道角色。
在韩期间，维文同韩外交部长官赵显、国家安保室长魏圣洛、统一部长官郑东泳会见会谈，就中东局势、中美关系、东北亚发展及朝鲜半岛形势等课题进行广泛讨论。其中，魏圣洛同维文的会见核心议题即半岛局势，魏向新方介绍了现届政府的对朝政策，新方表示积极支持并谈及了访朝情况。赵显表示，韩政府通过新方向朝介绍韩方对朝政策，并传达愿与朝方对话、“实现和平共处”的立场；对于习近平近期访朝事，赵显称，随时均有可能，目前并无具体消息，不宜言及习近平访朝是否与朝核问题有关等大框架。
韩新均未对外发布郑东泳同维文会见时谈话内容。
5月29日，中联部发消息，老挝党总书记、国家主席通伦将应习近平邀请于6月2日至6日访华。
（新加坡外交部，韩联社，中联部）

福利分享

🖼 🗣️2026-05-30 实用教程 1️⃣ 前沿AI与技能： AI摄影大片实操、3天AI动态漫变现营、Gemini 3.0从入门到精通 2️⃣ 搞钱职场与管理： 中高级管理者沟通…

🗣️2026-05-30 实用教程

1️⃣ 前沿AI与技能： AI摄影大片实操、3天AI动态漫变现营、Gemini 3.0从入门到精通
2️⃣ 搞钱职场与管理： 中高级管理者沟通训练营、恶魔奶爸职场破局
3️⃣ 运动塑形与健康： 范李猿14天体态矫正（上身篇）
4️⃣ 情感脱单： 老岸《指男针》男性恋爱社交指南

#资源

👉https://www.xbwpys.com/75084/

🖼 🗣️ 嫌系统听写废话太多、商业 AI 语音工具又太贵？ OpenLess ：一款支持 macOS 和 Windows 的开源 AI 语音输入工具 按住快捷键说话后，它可以将口述需…

🗣️ 嫌系统听写废话太多、商业 AI 语音工具又太贵？

OpenLess ：一款支持 macOS 和 Windows 的开源 AI 语音输入工具

按住快捷键说话后，它可以将口述需求转写、润色

并整理成适合 ChatGPT、Claude、Cursor 使用的结构化 Prompt

🏷️ #开发者项目 #开源替代 #AI工作流 #开源替代 #开源项目

👉 https://www.ahhhhfs.com/81036/

🖼 🗣️2026-05-29 实用教程 1️⃣ 数字技能： 零基础书单剪辑全流程、人像摄影后期系统入门 2️⃣ 搞钱职场： 四大平台电商财务实操、中高级管理者沟通营、…

🗣️2026-05-29 实用教程

1️⃣ 数字技能： 零基础书单剪辑全流程、人像摄影后期系统入门
2️⃣ 搞钱职场： 四大平台电商财务实操、中高级管理者沟通营、财富思维认知破局
3️⃣ 考学外语： Susan英语大汇总、上岸经验及记忆计划表、刘建清教授犯罪心理课
4️⃣ 情感福利： 女性魅力与性商养成课、内购资源合集

#资源

👉https://www.xbwpys.com/75084/