タグ: security

url マーケットプレイスとカタログエントリに追加された headersHelper は、HTTP ヘッダーを出力するローカルコマンドを実行します。これにより S3 やアーティファクトリポジトリの背後にある社内プラグインカタログを短命トークンで認証できます。スキーマ、同意プロンプト、Claude Code が破棄するヘッダー名を解説します。

3.47.1 のホットフィックスは、プラグインのクラス名とパッケージ識別子が GeneratedPluginRegistrant に到達する前に検証します。塞がれた穴、それを塞ぐ正規表現、そしてこのリリースに含まれる他の 11 件の修正を解説します。

Semantic Kernel .NET 1.80.0 には破壊的変更が入りました。OpenAPI プラグインの既定の HttpClient がリダイレクトを追わなくなり、SSRF のバイパスがふさがれます。何が変わるのか、そしてなぜ自前の HttpClient が穴を開け直すのかを解説します。

ソースジェネレーターが生成するログで分類済みデータをレダクションする完全ガイドです。タクソノミーの構築、Redactor の実装、EnableRedaction と AddRedaction の配線、そして部分マスクを静かに壊すディスクリミネーターまでを扱います。Microsoft.Extensions.Compliance.Redaction 10.9.0 の実際の出力付きです。

.NET 11 Preview 7 は System.IO.Compression にパスワード保護された ZIP エントリを追加します。AES-256 のサポート、ディレクトリ全体を扱う操作向けのオプション型、そして main では既に修正済みの空ファイルの不具合について解説します。

2026年8月6日の GitHub changelog により、copilot/managed-settings.json に allowedMcpServers と deniedMcpServers が追加されました。URL と argv によるマッチャー、拒否優先の判定、そして名前ベースのレジストリには無かった fail closed の既定動作について解説します。

NuGet.org は 2026-08-17 に 365 日の API キーオプションを廃止し、新規キーを最長 30 日に制限したうえで、それ以前に作成されたキーをすべて 11 月 1 日に失効させます。何が壊れるのか、公開ワークフローを OIDC の trusted publishing へ移す方法を解説します。

Preview 6 は、antiforgery トークンではなく Sec-Fetch-Site ヘッダーを読み取り、安全でないオリジン間のブラウザーリクエストをデフォルトで拒否します。何をブロックし、どう除外するかを解説します。

Cato AI Labs が CVE-2026-50548 と CVE-2026-50549 を公開しました。Cursor のターミナルサンドボックスにある CVSS 9.8 の脆弱性のペアです。汚染された MCP レスポンスや Web 検索結果がサンドボックスを抜け出してコードを実行できます。修正版は Cursor 3.0 です。

ASP.NET Core 11 の minimal API における JWT bearer 認証の完全で動作する設定です。パッケージのインストール、AddAuthentication().AddJwtBearer() の配線、トークンの発行、RequireAuthorization によるエンドポイントの保護、ロールと claim のポリシーの追加、そして dotnet user-jwts によるテストまでを扱います。