Tag: security

Ein Feld headersHelper an url-Marketplaces und an Katalogeinträgen führt einen lokalen Befehl aus, der HTTP-Header ausgibt. Damit kann sich ein interner Plugin-Katalog hinter S3 oder einem Artefakt-Repository mit einem kurzlebigen Token authentifizieren. Hier sind das Schema, die Zustimmungsabfrage und die Header-Namen, die Claude Code verwirft.

Der Hotfix 3.47.1 validiert Plugin-Klassen- und Paket-Identifier, bevor sie im GeneratedPluginRegistrant landen. Hier sind die Lücke, die geschlossen wird, der zuständige reguläre Ausdruck und die weiteren 11 Korrekturen des Release.

Semantic Kernel .NET 1.80.0 bringt eine Breaking Change: Der Standard-HttpClient des OpenAPI-Plugins folgt keinen Weiterleitungen mehr und schließt damit eine SSRF-Umgehung. Was sich ändert und warum Ihr eigener HttpClient die Lücke wieder öffnet.

Ein vollständiger Leitfaden zur Redaktion klassifizierter Daten in per Source Generator erzeugten Logs: Taxonomie aufbauen, einen Redactor schreiben, EnableRedaction und AddRedaction verdrahten und den Diskriminator verstehen, der partielle Maskierung stillschweigend zerstört. Mit echter Ausgabe aus Microsoft.Extensions.Compliance.Redaction 10.9.0.

.NET 11 Preview 7 ergänzt System.IO.Compression um passwortgeschützte ZIP-Einträge, mit AES-256-Unterstützung, Optionstypen für Operationen über ganze Verzeichnisse und einem Fehler bei leeren Dateien, der in main bereits behoben ist.

Das GitHub-Changelog vom 6. August 2026 ergänzt copilot/managed-settings.json um allowedMcpServers und deniedMcpServers. Matcher über URL und argv, Vorrang der Verweigerung und ein Standardverhalten, das fail closed ist und dem namensbasierten Registry gefehlt hat.

NuGet.org streicht am 2026-08-17 die 365-Tage-Option für API-Keys, begrenzt neue Keys auf 30 Tage und lässt am 1. November jeden zuvor erstellten Key ablaufen. Was dabei bricht und wie Sie einen Publish-Workflow auf OIDC Trusted Publishing umstellen.

Preview 6 lehnt unsichere ursprungsübergreifende Browser-Anfragen standardmäßig ab und liest dazu den Sec-Fetch-Site-Header statt eines Antiforgery-Tokens. Das blockiert es, und so schließen Sie Endpunkte aus.

Cato AI Labs hat CVE-2026-50548 und CVE-2026-50549 offengelegt, ein Paar von Schwachstellen mit CVSS 9.8 in Cursors Terminal-Sandbox. Eine vergiftete MCP-Antwort oder ein vergiftetes Web-Ergebnis kann die Sandbox verlassen und Code ausführen. Cursor 3.0 ist die Lösung.

Eine vollständige, funktionierende Einrichtung der JWT-Bearer-Authentifizierung in einer Minimal API in ASP.NET Core 11: das Paket installieren, AddAuthentication().AddJwtBearer() verdrahten, ein Token ausstellen, Endpunkte mit RequireAuthorization schützen, Rollen- und Claim-Richtlinien hinzufügen und alles mit dotnet user-jwts testen.