Tag: security

O Semantic Kernel .NET 1.81.0 corrige um oráculo no FileIOPlugin: WriteAsync dizia ao modelo que um arquivo fora de AllowedFolders existia, era somente leitura e onde ficava. Medido antes e depois.

A partir de 23 de setembro de 2026, os pacotes da Microsoft no NuGet passam a ser assinados como autor com um novo certificado (SHA-256 9A1B131B...). Se o seu nuget.config fixa a Microsoft em trustedSigners, os restores vão falhar com NU3034. Aqui está a correção, incluindo o comando dotnet nuget trust correto.

Mantenha uma WebView do Flutter no seu próprio domínio com webview_flutter 4.14.1: faça o parse da URL, compare Uri.host em vez de usar startsWith, entregue mailto: e tel: ao url_launcher e saiba o que Android e iOS realmente enviam para onNavigationRequest.

Chame .DisableAntiforgery() no endpoint específico, ou em um MapGroup. No ASP.NET Core 11 isso desativa tanto o middleware de token quanto a nova verificação automática de CSRF. Matriz medida, armadilhas de precedência e alternativas mais restritas.

CVE-2026-92707: cabeçalhos de array MessagePack aninhados podiam reutilizar os mesmos bytes finais para passar na verificação de tamanho, fazendo com que a desserialização em object alocasse milhares de vezes o tamanho do payload. A correção, um teste antes/depois, e por que aplicativos SignalR no .NET 8 até 11 RC 1 precisam de um pin direto de pacote.

O Microsoft Agent Framework .NET 1.21.0 traz o Microsoft.Agents.AI.LocalCodeAct 1.21.0-preview.260911.1, que não permite mais que o subprocesso Python do CodeAct herde o ambiente do processo pai quando Environment é null. Na 1.20, o código gerado podia ler todas as variáveis do host, incluindo chaves de API.

W^X (write xor execute) é a regra de que nenhuma página de memória seja gravável e executável ao mesmo tempo. No .NET é a opção DOTNET_EnableWriteXorExecute, ligada por padrão desde o .NET 7, e existe inteiramente para o JIT. O Native AOT nunca a lê. Veja como o runtime a implementa, quanto ela custa e quando desligá-la é uma correção legítima.

Até agora, a única forma de entregar os mesmos servidores MCP a todo desenvolvedor era o managed-mcp.json, um arquivo em um caminho do sistema que assume controle exclusivo do MCP. O Claude Code 2.1.259 adiciona uma configuração managedMcpServers para servidores HTTP e SSE e, de quebra, reduz o alcance do allowedMcpServers.

A implementação do BinaryFormatter foi removida no .NET 9 e continua lançando PlatformNotSupportedException no .NET 10 e no .NET 11: como escolher um serializador substituto, ler blobs NRBF já persistidos com o NrbfDecoder e o que quebra em WinForms, WPF e ResX.

Um symlink trocado depois da verificação, regras deny que deixavam de valer através de um caminho de busca com symlink, um comando de marketplace apontando para fora do seu plugin e um script de workflow lido antes da aprovação. Quatro correções em uma versão, todas o mesmo bug.