安全日誌。
我們在發現被修復並驗證之後才會公開——只是一段簡短摘要，絕不會給出可利用的操作步驟。每條條目旁都標有修復所用時間。
發生過什麼。
已加強 DDoS 攻擊防護
網站和合作夥伴控制面板現在更能承受大量請求造成的過載。
— CreateYourVPN 團隊修正不存在頁面的處理
Tsabita 的報告顯示，網站上部分不存在的位址回傳伺服器錯誤，而非「找不到」頁面。這些回應不含任何內部資料。錯誤已修正，這些位址現在會正確回應。感謝您的通報。
— Tsabita已修復 Linux 核心漏洞 CVE-2026-98432
Linux 核心處理傳入 TCP 連線的方式中發現了漏洞 CVE-2026-98432。無論執行何種服務，此漏洞都會影響 Linux 伺服器。
平台伺服器以及執行受支援系統版本的合作夥伴活躍 VPN 伺服器的核心已更新至包含修復的版本。
— CreateYourVPN 團隊統一公開支援表單的限制
Parth Narula 的報告顯示，使用其他電子郵件地址時，可以透過我們的公開支援表單傳送額外請求。我們統一了表單的限制，更換地址不再帶來額外的請求。感謝負責任的通報。
— Parth Narula已限制支援服務介面的存取
一位外部研究者指出，支援服務介面先前可從網際網路存取。該介面需要身分驗證；未發現未授權存取或使用者資料外洩的跡象。
我們已將支援服務從公開面中移除：僅允許從受信任的位址以及透過內部通道存取。介面設定已與正式使用的網域保持一致，存取限制已從外部網路驗證。
— Vimalatithyan返回網址已限制為面板頁面
一名安全研究人員發現，工作階段還原後使用的內部返回網址可能被瀏覽器解讀為前往外部網站。此情境需要有效的工作階段，且不會帶來對帳戶或資料的存取。
現在，返回網址從一份固定的內部頁面清單中選取。任何其他值都會導向面板首頁。此修復已由自動化的負向測試涵蓋。
— Anonymous已啟用 DMARC 強制政策
一名安全研究人員發現，createyourvpn.com 的 DMARC 政策僅在監控模式下運作，並不要求拒絕未通過驗證的郵件。我們為主網域啟用了 p=reject，並為不傳送郵件的子網域啟用了 sp=reject。交易郵件仍隔離在獨立的寄件子網域上，並使用各自的 SPF、DKIM 和 DMARC 政策。
— A Sai Vardhan已啟用 MTA-STS 和 TLS 報告
一名安全研究人員發現，createyourvpn.com 的入站郵件尚未設定 MTA-STS 和 TLS 報告。我們發布了 MTA-STS 政策並啟用 TLS 報告。政策首先以測試模式運行，以便我們檢查第三方轉寄路徑；收到沒有異常的報告後再啟用強制執行。
— A Sai Vardhan新增了帳戶工作階段管理功能
一名安全研究人員發現，如果合作夥伴工作階段權杖的副本被個別更新，它可能會在登出後繼續有效。我們將工作階段遷移到統一的伺服器端身分：現在，登出會撤銷整個目前的工作階段，而「在所有裝置登出」會終止所有使用中的工作階段。
面板中新增了「帳戶工作階段」頁面。在該頁面中可以看到目前的登入情況，包括裝置、IP 位址、登入時間和最後活躍時間，以及最近 90 天內成功與失敗的登入嘗試紀錄。任何工作階段都可以單獨結束，也可以一次全部結束。
— A Sai VardhanEnabled DNSSEC
A researcher found that DNSSEC was not enabled for createyourvpn.com. We signed the DNS zone, published the DS record in .com, and verified the chain of trust.
— Waqar Jamal加強公開支援表單的保護
安全研究員 0xVicky 發現，我們的公開支援表單可能被濫用來傳送過量請求。我們新增了按訪客及整體流量的限制，保護表單的內部提交通道，並加強附件驗證。感謝負責任的通報。
— 0xVicky工作階段管理與登入碼寄送
根據一位外部研究者的回報，我們複查了兩個相鄰環節：合作夥伴工作階段的生命週期，以及登入碼郵件的寄送路徑。兩項發現都無法存取帳戶、合作夥伴資料或使用者流量。
— Ganesh RK店面頁面的安全標頭
合作夥伴店面未送出面板與 API 早已送出的安全標頭，其中包括禁止其他網站以框架顯示頁面的那一項。透過這個途徑無法讀取帳號資料或工作階段。現在完整標頭隨店面的每一次回應送出，SR-15 聲明也明確列出我們代管的每一個前端。
— Abhinav Raj使用者可以自行重設訂閱連結
訂閱連結是一項機密：取得連結的人與連結擁有者擁有相同的存取權限。使用者可以在自己的帳戶中自行重設：先前的連結停止運作，其背後的憑證會重新簽發。以此方式關閉的連結會保持關閉，即使從備份還原資料也是如此。
— CreateYourVPN 團隊不再保存店面使用者的電子郵件地址
使用者輸入電子郵件以登入合作夥伴的店面，但這個地址不會留在我們這裡：驗證碼郵件寄出後，地址隨即被刪除。帳戶透過不可逆的指紋來辨識，無法據此還原地址，帳戶名稱中也不含地址。
— CreateYourVPN 團隊已限制基礎設施管理面板的存取
一位外部研究者回報，一個用於基礎設施管理的管理介面可從公開網際網路回應。該介面有身分驗證保護，未發現未授權存取的痕跡。我們受理了該回報並限制了存取。
目前該介面僅可從許可位址存取，身分驗證要求已加強，相關元件已更新。結果已在自有網路之外驗證。此外，我們複查了對外公開的範圍，並導入定期檢查。獎勵已依最高級距發放。
— Gaurang Maheta移除了合作夥伴 API 中一條未使用的授權路徑
該 API 先前支援一條基於 cookie 的額外授權路徑，而目前的 server-side 架構並不需要它。在 production 中未發現跨站攻擊，但這條多餘路徑擴大了未來出錯的面。現在 API 使用單一、明確定義的授權方式，並有負向測試涵蓋。
— CreateYourVPN 團隊保證在刪除伺服器後清除管理金鑰
加密的管理金鑰的清除先前在背景網路作業之後執行，若這些作業失敗便可能無法重試。我們已將金鑰清除與網路串接作業解耦，並加入了有保證的重試。伺服器無法連線與行程中斷這兩種情形皆有測試涵蓋。
— CreateYourVPN 團隊依用途分離了平台的加密金鑰
一次內部審查發現，同一個金鑰被用於兩項不同的加密工作。這並未造成直接的繞過，但會擴大金鑰外洩的影響範圍。兩種用途已被分離，現各自獨立輪替。
— CreateYourVPN 團隊縮減了 production API 的公開面
API 的互動式技術文件先前無需認證即可存取。它並未提供對受保護資料的存取，但使研究 API 的內部結構更為容易。在 production 中該文件現已停用，同時在一個隔離環境中仍可供開發使用。
— CreateYourVPN 團隊針對不安全的 cross-origin 設定增加了防護
目前的 production 設定並不允許任意來源（origin），但如果維運人員設定有誤，程式碼會容許一種危險的參數組合。現在該組合會在啟動時被拒絕，並有一項自動化測試加以涵蓋。
— CreateYourVPN 團隊計畫啟動前的內部審查
2026 年 7 月 15 日，我們啟動了對 CreateYourVPN 的內部安全審查。我們已完成並複核的修復發布於下；隨著更多修復的部署與確認，還會陸續公布。
— CreateYourVPN 團隊這裡會寫什麼。
摘要與時間線
一個發現的要點、漏洞類別、報告日期和修復日期。如果某個發現反駁了一條 SR 主張——那就是對報告的一次公開更正。
可利用的操作步驟
會幫助在所有人更新之前攻擊其他伺服器的分步說明、PoC 程式碼和細節。
有所發現？
帶上可重現的概念驗證寫信給我們。我們會在 72 小時內回覆，並在內部分級評估。