Start Debugging

Tag: security

33 Beiträge · Seite1von4

2026-10-09 dotnet semantic-kernel ai-agents

Semantic Kernel 1.81 verhindert, dass FileIOPlugin Dateien außerhalb von AllowedFolders preisgibt

Semantic Kernel .NET 1.81.0 schließt ein FileIOPlugin-Orakel: WriteAsync verriet dem Modell, dass eine Datei außerhalb von AllowedFolders existierte, schreibgeschützt war und wo sie lag. Vorher und nachher gemessen.

2026-09-24 nuget dotnet security

Microsoft wechselt sein NuGet-Author-Signing-Zertifikat: trustedSigners anpassen, bevor NU3034 zuschlägt

Ab dem 23. September 2026 werden Microsoft-Pakete auf NuGet mit einem neuen Zertifikat (SHA-256 9A1B131B...) autorsigniert. Wenn Ihre nuget.config Microsoft in trustedSigners festlegt, schlagen Restores mit NU3034 fehl. Hier ist die Lösung, einschließlich des korrekten dotnet nuget trust-Befehls.

2026-09-22 flutter dart webview

So verhindern Sie, dass eine Flutter-WebView mit NavigationDelegate zu externen URLs navigiert

Halten Sie eine Flutter-WebView mit webview_flutter 4.14.1 auf Ihrer eigenen Domain: URL parsen, Uri.host statt startsWith vergleichen, mailto: und tel: an url_launcher übergeben und wissen, was Android und iOS tatsächlich an onNavigationRequest senden.

2026-09-22 aspnetcore dotnet-11 minimal-apis

So deaktivieren Sie die Antiforgery-Validierung für einen einzelnen Minimal-API-Formularendpunkt in ASP.NET Core 11

Rufen Sie .DisableAntiforgery() auf dem einen Endpunkt oder auf einer MapGroup auf. In ASP.NET Core 11 nimmt das den Endpunkt sowohl aus der Token-Middleware als auch aus der neuen automatischen CSRF-Prüfung heraus. Gemessene Matrix, Fallen bei der Rangfolge und engere Alternativen.

2026-09-19 messagepack security signalr

MessagePack 3.1.9 und 2.5.303 beheben eine 32-KiB-Payload, die 120 MiB alloziert

CVE-2026-92707: Verschachtelte MessagePack-Array-Header konnten dieselben verbleibenden Bytes wiederverwenden, um die Längenprüfung zu bestehen, sodass die Deserialisierung in object ein Vielfaches der Payload-Größe allozierte. Der Fix, ein Vorher/Nachher-Test und warum SignalR-Apps auf .NET 8 bis 11 RC 1 einen direkten Paket-Pin benötigen.

2026-09-13 agent-framework dotnet ai-agents

Agent Framework 1.21: LocalCodeAct gibt Ihre Host-Umgebung nicht mehr an modellgeschriebenes Python weiter

Microsoft Agent Framework .NET 1.21.0 liefert Microsoft.Agents.AI.LocalCodeAct 1.21.0-preview.260911.1 aus, bei dem der CodeAct-Python-Unterprozess die Umgebung des Elternprozesses nicht mehr erbt, wenn Environment null ist. Unter 1.20 konnte generierter Code jede Host-Variable lesen, API-Schlüssel eingeschlossen.

2026-09-04 dotnet native-aot jit

Was ist das W^X-Flag in .NET und braucht Native AOT es?

W^X (write xor execute) ist die Regel, dass keine Speicherseite gleichzeitig beschreibbar und ausführbar ist. In .NET ist das der Schalter DOTNET_EnableWriteXorExecute, seit .NET 7 standardmäßig aktiv, und er existiert ausschließlich für den JIT. Native AOT liest ihn nie. Hier steht, wie die Laufzeit ihn umsetzt, was er kostet und wann das Abschalten eine legitime Lösung ist.

2026-09-03 claude-code mcp ai-agents

Claude Code 2.1.259 bringt managedMcpServers: MCP-Server ohne MDM ausliefern

Bisher war managed-mcp.json der einzige Weg, allen Entwicklern dieselben MCP-Server zu geben: eine Datei in einem Systempfad, die die exklusive Kontrolle über MCP übernimmt. Claude Code 2.1.259 ergänzt eine managedMcpServers-Einstellung für HTTP- und SSE-Server und schränkt nebenbei ein, was allowedMcpServers steuert.

2026-09-02 migration binaryformatter serialization

Nach der Entfernung im modernen .NET von BinaryFormatter migrieren

Die Implementierung von BinaryFormatter wurde in .NET 9 entfernt und wirft in .NET 10 und .NET 11 weiterhin PlatformNotSupportedException: wie Sie einen Ersatzserializer auswählen, bereits gespeicherte NRBF-Blobs mit NrbfDecoder lesen und was in WinForms, WPF und ResX bricht.

2026-08-29 claude-code ai-agents security

Claude Code 2.1.251 schließt vier Wege an der Berechtigungsprüfung vorbei

Ein Symlink, der nach der Prüfung ausgetauscht wird, Deny-Regeln, die über einen Symlink-Suchpfad nicht mehr griffen, ein Marketplace-Kommando außerhalb seines Plugins und ein Workflow-Skript, das vor der Freigabe gelesen wurde. Vier Fixes in einem Release, alle derselbe Bug.