Тег: security

Поле headersHelper у маркетплейсов типа url и у записей каталога запускает локальную команду, печатающую HTTP-заголовки, поэтому внутренний каталог плагинов за S3 или репозиторием артефактов может аутентифицироваться коротким токеном. Здесь схема, запрос согласия и имена заголовков, которые Claude Code отбрасывает.

Хотфикс 3.47.1 проверяет идентификаторы классов и пакетов плагинов до того, как они попадут в GeneratedPluginRegistrant. Разбираем закрытую дыру, регулярное выражение, которое её закрывает, и остальные 11 исправлений релиза.

В Semantic Kernel .NET 1.80.0 появилось ломающее изменение: HttpClient по умолчанию у плагина OpenAPI больше не следует за редиректами, что закрывает обход SSRF-защиты. Что именно поменялось и почему собственный HttpClient снова открывает дыру.

Полное руководство по редактированию классифицированных данных в журналах, созданных генератором исходного кода: постройте таксономию, напишите Redactor, подключите EnableRedaction и AddRedaction и разберитесь с дискриминатором, который незаметно ломает частичное маскирование. С реальным выводом из Microsoft.Extensions.Compliance.Redaction 10.9.0.

.NET 11 Preview 7 добавляет в System.IO.Compression записи ZIP, защищённые паролем, с поддержкой AES-256, типами опций для операций над целыми каталогами и одной ошибкой с пустыми файлами, которая уже исправлена в main.

Changelog GitHub от 6 августа 2026 года добавляет allowedMcpServers и deniedMcpServers в copilot/managed-settings.json. Сопоставление по URL и argv, приоритет запрета и поведение по умолчанию fail closed, которого у реестра на основе имён никогда не было.

NuGet.org убирает опцию 365-дневного API-ключа 2026-08-17, ограничивает новые ключи 30 днями и 1 ноября аннулирует все ключи, созданные до этой даты. Что сломается и как перевести workflow публикации на trusted publishing через OIDC.

Preview 6 по умолчанию отклоняет небезопасные межсайтовые запросы браузера, читая заголовок Sec-Fetch-Site вместо токена antiforgery. Вот что она блокирует и как исключить конечные точки.

Cato AI Labs раскрыла CVE-2026-50548 и CVE-2026-50549, пару уязвимостей с оценкой CVSS 9.8 в терминальной песочнице Cursor. Отравленный ответ MCP или результат веб-поиска может выйти из песочницы и выполнить код. Исправление в Cursor 3.0.

Полная рабочая настройка JWT bearer-аутентификации в minimal API в ASP.NET Core 11: установить пакет, подключить AddAuthentication().AddJwtBearer(), выпустить токен, защитить endpoint через RequireAuthorization, добавить политики ролей и claim, и протестировать всё это с помощью dotnet user-jwts.