「漏洞预警」关于 apifox 被投毒的风险提示

近期安全监测发现，Apifox 桌面客户端因未启用 sandbox 参数且暴露 Node.js 接口，导致可能被恶意 JavaScript 注入攻击。自3月4日起，部分用户下载的脚本文件被篡改，异常版本加载了非官方域名的恶意脚本，触发后采集主机敏感信息并上报。攻击者可能借此远程控制主机并横向扩展。目前官方未发布修复补丁，建议限制与可疑域名（如 apifox.it.com 等）的网络通信，并通过防火墙和流量监测加强防护。