Start Debugging

Tag: security

36 posts · Página1de4

2026-10-31 grpc aspnetcore dotnet

grpc-dotnet 2.85 aplica MaxReceiveMessageSize depois da descompressão, não apenas antes

Grpc.AspNetCore e Grpc.Net.Client 2.85.0 agora aplicam MaxReceiveMessageSize ao tamanho descomprimido de mensagens gzip e deflate. Uma requisição de 260 KB que se expande para 256 MiB é rejeitada com ResourceExhausted, mas payloads comprimidos grandes e legítimos também podem começar a falhar.

2026-10-27 flutter flutter-web dart

Como chamar a API da OpenAI a partir de um app Flutter web sem expor a chave de API

Tudo o que você compila em um build Flutter web, incluindo valores de --dart-define, vai para o navegador em texto puro. O único padrão seguro é um pequeno proxy de backend que guarda a chave, autentica o usuário, fixa o modelo e repassa o SSE da Responses API em streaming. Proxy completo em Dart com shelf e cliente Flutter, testados com Flutter 3.44, Dart 3.12 e http 1.6.

2026-10-26 dotnet aspnetcore security

.NET 10.0.14 chega fora de banda: overflow na descompressão Brotli e dois CVEs de outubro relançados

A versão fora de banda de 25 de outubro de 2026 (.NET 8.0.33, 9.0.22, 10.0.14, 11 RC3) corrige um buffer overflow no Brotli, uma falha de propriedade em tarballs do Linux e dois CVEs que as correções de 13 de outubro não resolveram por completo.

2026-10-09 dotnet semantic-kernel ai-agents

Semantic Kernel 1.81 impede que o FileIOPlugin vaze arquivos fora de AllowedFolders

O Semantic Kernel .NET 1.81.0 corrige um oráculo no FileIOPlugin: WriteAsync dizia ao modelo que um arquivo fora de AllowedFolders existia, era somente leitura e onde ficava. Medido antes e depois.

2026-09-24 nuget dotnet security

A Microsoft está trocando o certificado de assinatura de autor do NuGet: corrija trustedSigners antes que o NU3034 apareça

A partir de 23 de setembro de 2026, os pacotes da Microsoft no NuGet passam a ser assinados como autor com um novo certificado (SHA-256 9A1B131B...). Se o seu nuget.config fixa a Microsoft em trustedSigners, os restores vão falhar com NU3034. Aqui está a correção, incluindo o comando dotnet nuget trust correto.

2026-09-22 flutter dart webview

Como impedir que uma WebView do Flutter navegue para URLs externas com NavigationDelegate

Mantenha uma WebView do Flutter no seu próprio domínio com webview_flutter 4.14.1: faça o parse da URL, compare Uri.host em vez de usar startsWith, entregue mailto: e tel: ao url_launcher e saiba o que Android e iOS realmente enviam para onNavigationRequest.

2026-09-22 aspnetcore dotnet-11 minimal-apis

Como desativar a validação antiforgery em um único endpoint de formulário de minimal API no ASP.NET Core 11

Chame .DisableAntiforgery() no endpoint específico, ou em um MapGroup. No ASP.NET Core 11 isso desativa tanto o middleware de token quanto a nova verificação automática de CSRF. Matriz medida, armadilhas de precedência e alternativas mais restritas.

2026-09-19 messagepack security signalr

MessagePack 3.1.9 e 2.5.303 corrigem payload de 32 KiB que aloca 120 MiB

CVE-2026-92707: cabeçalhos de array MessagePack aninhados podiam reutilizar os mesmos bytes finais para passar na verificação de tamanho, fazendo com que a desserialização em object alocasse milhares de vezes o tamanho do payload. A correção, um teste antes/depois, e por que aplicativos SignalR no .NET 8 até 11 RC 1 precisam de um pin direto de pacote.

2026-09-13 agent-framework dotnet ai-agents

Agent Framework 1.21: LocalCodeAct deixa de entregar o ambiente do host ao Python escrito pelo modelo

O Microsoft Agent Framework .NET 1.21.0 traz o Microsoft.Agents.AI.LocalCodeAct 1.21.0-preview.260911.1, que não permite mais que o subprocesso Python do CodeAct herde o ambiente do processo pai quando Environment é null. Na 1.20, o código gerado podia ler todas as variáveis do host, incluindo chaves de API.

2026-09-04 dotnet native-aot jit

O que é a flag W^X no .NET e o Native AOT precisa dela?

W^X (write xor execute) é a regra de que nenhuma página de memória seja gravável e executável ao mesmo tempo. No .NET é a opção DOTNET_EnableWriteXorExecute, ligada por padrão desde o .NET 7, e existe inteiramente para o JIT. O Native AOT nunca a lê. Veja como o runtime a implementa, quanto ela custa e quando desligá-la é uma correção legítima.