Tag: security

Ab dem 23. September 2026 werden Microsoft-Pakete auf NuGet mit einem neuen Zertifikat (SHA-256 9A1B131B...) autorsigniert. Wenn Ihre nuget.config Microsoft in trustedSigners festlegt, schlagen Restores mit NU3034 fehl. Hier ist die Lösung, einschließlich des korrekten dotnet nuget trust-Befehls.

Halten Sie eine Flutter-WebView mit webview_flutter 4.14.1 auf Ihrer eigenen Domain: URL parsen, Uri.host statt startsWith vergleichen, mailto: und tel: an url_launcher übergeben und wissen, was Android und iOS tatsächlich an onNavigationRequest senden.

Rufen Sie .DisableAntiforgery() auf dem einen Endpunkt oder auf einer MapGroup auf. In ASP.NET Core 11 nimmt das den Endpunkt sowohl aus der Token-Middleware als auch aus der neuen automatischen CSRF-Prüfung heraus. Gemessene Matrix, Fallen bei der Rangfolge und engere Alternativen.

CVE-2026-92707: Verschachtelte MessagePack-Array-Header konnten dieselben verbleibenden Bytes wiederverwenden, um die Längenprüfung zu bestehen, sodass die Deserialisierung in object ein Vielfaches der Payload-Größe allozierte. Der Fix, ein Vorher/Nachher-Test und warum SignalR-Apps auf .NET 8 bis 11 RC 1 einen direkten Paket-Pin benötigen.

Microsoft Agent Framework .NET 1.21.0 liefert Microsoft.Agents.AI.LocalCodeAct 1.21.0-preview.260911.1 aus, bei dem der CodeAct-Python-Unterprozess die Umgebung des Elternprozesses nicht mehr erbt, wenn Environment null ist. Unter 1.20 konnte generierter Code jede Host-Variable lesen, API-Schlüssel eingeschlossen.

W^X (write xor execute) ist die Regel, dass keine Speicherseite gleichzeitig beschreibbar und ausführbar ist. In .NET ist das der Schalter DOTNET_EnableWriteXorExecute, seit .NET 7 standardmäßig aktiv, und er existiert ausschließlich für den JIT. Native AOT liest ihn nie. Hier steht, wie die Laufzeit ihn umsetzt, was er kostet und wann das Abschalten eine legitime Lösung ist.

Bisher war managed-mcp.json der einzige Weg, allen Entwicklern dieselben MCP-Server zu geben: eine Datei in einem Systempfad, die die exklusive Kontrolle über MCP übernimmt. Claude Code 2.1.259 ergänzt eine managedMcpServers-Einstellung für HTTP- und SSE-Server und schränkt nebenbei ein, was allowedMcpServers steuert.

Die Implementierung von BinaryFormatter wurde in .NET 9 entfernt und wirft in .NET 10 und .NET 11 weiterhin PlatformNotSupportedException: wie Sie einen Ersatzserializer auswählen, bereits gespeicherte NRBF-Blobs mit NrbfDecoder lesen und was in WinForms, WPF und ResX bricht.

Ein Symlink, der nach der Prüfung ausgetauscht wird, Deny-Regeln, die über einen Symlink-Suchpfad nicht mehr griffen, ein Marketplace-Kommando außerhalb seines Plugins und ein Workflow-Skript, das vor der Freigabe gelesen wurde. Vier Fixes in einem Release, alle derselbe Bug.

Ein Feld headersHelper an url-Marketplaces und an Katalogeinträgen führt einen lokalen Befehl aus, der HTTP-Header ausgibt. Damit kann sich ein interner Plugin-Katalog hinter S3 oder einem Artefakt-Repository mit einem kurzlebigen Token authentifizieren. Hier sind das Schema, die Zustimmungsabfrage und die Header-Namen, die Claude Code verwirft.