目录
- Jina AI 多模态嵌入模型 - jina-clip-v1
- PHP 漏洞 CVE-2024-4577
- TypeScript 5.5 RC 发布公告
Jina AI 多模态嵌入模型 - jina-clip-v1
jina-clip-v1 是 Jina AI 最新推出的多模态嵌入模型。与 OpenAI CLIP 相比，它大幅提升了纯文本检索方面的性能，同时在文本图像跨模式检索等方面也有所提升。
- 模型信息:
- jina-clip-v1 沿用了 OpenAI CLIP 的模式: 共同训练文本和图像模型并在同一嵌入空间中生成输出。
- 在文本编码方面，它采用了 Jina BERT v2 架构，该架构能支持 8k token 输入和 768 维向量输出，比 OpenAI CLIP 模型支持的 77 token 输入要高 100 多倍。
- 在图像嵌入方面，它使用了北京人工智能研究院的 EVA-02 模型。在实际测试中，该模型的表现明显优于其他同类模型。
- 在模型训练方面，Jina 采用新的多任务对比训练方法来训练 jina-clip-v1 模型。
- 性能评估:
Model Text-Text Text-to-Image Image-to-Text Image-Image jina-clip-v1 0.429 0.899 0.803 0.916 openai-clip-vit-b16 0.162 0.881 0.756 0.816 vs OpenAI CLIP 165% 2% 6% 12% - 价格: 文本和图像的输入均按 token 消耗收费。对于英文文本，平均每个单词需要 1.1 token。对于图像，平均每张 750x500 像素的图片需要 12000 token（具体的计算细节请参考 Jina 官方）。
- 使用方法:
- 下载模型: jina-clip-v1 模型已开源，可以在 Hugging Face 上免费获取，其开源协议为 Apache 2.0。
- API: 支持通过 Jina Embeddings API 将 jina-clip-v1 集成到你的应用程序中。
- LLM 框架: jina-clip-v1 已集成到 LlamaIndex 和 LangChain。
- 支持的语言: 目前仅支持英语，下一步计划支持德语和中文。
PHP 漏洞 CVE-2024-4577
CVE-2024-4577：PHP CGI 参数注入漏洞摘要
漏洞描述:
- PHP 在 Windows 操作系统上的编码转换实现中存在缺陷，攻击者可利用此缺陷绕过 CVE-2012-1823 的防护措施。
- 攻击者可通过构造特殊的字符序列，向远程 PHP 服务器发起参数注入攻击，最终导致任意代码执行。
受影响版本:
- PHP 8.3 < 8.3.8
- PHP 8.2 < 8.2.20
- PHP 8.1 < 8.1.29
- 所有安装在 Windows 操作系统上的 PHP 版本
漏洞影响:
- 攻击者可在受影响的服务器上远程执行任意代码。
- 默认情况下，所有版本的 XAMPP for Windows 安装都容易受到攻击。
- 漏洞利用的难易程度取决于 Windows 操作系统的语言环境，已知在繁体中文、简体中文和日语环境下可直接执行任意代码。
缓解措施:
- 强烈建议所有用户升级到最新版本的 PHP：8.3.8、8.2.20 和 8.1.29。
- 对于无法升级的系统，可参考文章中提供的临时缓解措施，例如使用 Rewrite Rules 阻止攻击。
- 建议评估将 PHP CGI 架构迁移到更安全的架构，例如 Mod-PHP、FastCGI 或 PHP-FPM。
其他信息:
- DEVCORE 已将该漏洞报告给 PHP 官方团队，并于 2024 年 6 月 6 日发布了修复补丁。
- 文章中提供了详细的技术细节、漏洞利用场景、缓解措施和时间线等信息。
数据支撑:
- CVE 编号：CVE-2024-4577
- 受影响软件：PHP
- 漏洞类型：参数注入
- 严重程度：严重
- CVSS 评分：待定
- 披露时间：2024 年 6 月 6 日
- 参考资料：
- PHP 安全公告：https://github.com/php/php-src/security/advisories/GHSA-3qgc-jrrr-25jv
- MS-UCODEREF：https://learn.microsoft.com/en-us/openspecs/windows_protocols/ms-ucoderef/d1980631-6401-428e-a49d-d71394be7da8
- CERT/CC VU#520827：https://www.kb.cert.org/vuls/id/520827
以上文章采用 Gemini Pro 1.5 生成摘要，命令如下:
x jina r 'https://devco.re/blog/2024/06/06/security-alert-cve-2024-4577-php-cgi-argument-injection-vulnerability-en/' | \@gemini -t 0 '以大纲方式生成一份摘要，列举更多的数据支撑，用中文'
TypeScript 5.5 RC 发布公告
主要更新：
- 类型推断改进：
- 自动推断类型谓词，例如
xxx is number，以获得更精确的推断签名。 - 优化常量索引访问类型判断，例如当 obj 和 key 都是常量时，TypeScript 能够更精准判断
obj[key]的类型。 - 优化变量追踪类型变化的准确性，例如数组使用
.filter显示过滤后，TypeScript 能够更准确地推断出数组类型。
- 自动推断类型谓词，例如
- JSDoc 类型导入：
- 支持使用
@import语法在 JSDoc 中导入类型，方便开发者在 JavaScript 文件中直接导入类型，开启类型检查。
- 支持使用
- 正则表达式基本语法检查：
- 新增对正则表达式语法的基本检查，例如捕获组引用错误。
- 支持 ECMAScript
Set新函数的类型声明：- 支持 Set 类型函数的类型推断，如
union、intersection与isSubsetOf等。
- 支持 Set 类型函数的类型推断，如
- 隔离声明：
- 新增
--isolatedDeclarations选项，可从源文件自动生成库和模块轻量级类型签名。
- 新增
- 其他改进：
- 新增
${configDir}模板变量，用于在配置文件tsconfig.json中使用相对路径，这使得跨项目共享配置文件变得更加容易，并确保配置文件更加可移植。 - 在生成声明文件时，会参考
package.json中的依赖关系。 - 编辑器和监听模式的可靠性改进。
- 性能和体积优化。
- 更方便地从 ECMAScript 模块中使用 API。
- 新增
transpileDeclarationAPI，用于编译生成单个 TypeScript 文件。
- 新增
来源：
https://devblogs.microsoft.com/typescript/announcing-typescript-5-5-rc/
更多内容请查阅 : blog-240607
关注微信官方公众号 : oh my x
获取开源软件和 x-cmd 最新用法
