Тег: security

Changelog GitHub от 6 августа 2026 года добавляет allowedMcpServers и deniedMcpServers в copilot/managed-settings.json. Сопоставление по URL и argv, приоритет запрета и поведение по умолчанию fail closed, которого у реестра на основе имён никогда не было.

NuGet.org убирает опцию 365-дневного API-ключа 2026-08-17, ограничивает новые ключи 30 днями и 1 ноября аннулирует все ключи, созданные до этой даты. Что сломается и как перевести workflow публикации на trusted publishing через OIDC.

Preview 6 по умолчанию отклоняет небезопасные межсайтовые запросы браузера, читая заголовок Sec-Fetch-Site вместо токена antiforgery. Вот что она блокирует и как исключить конечные точки.

Cato AI Labs раскрыла CVE-2026-50548 и CVE-2026-50549, пару уязвимостей с оценкой CVSS 9.8 в терминальной песочнице Cursor. Отравленный ответ MCP или результат веб-поиска может выйти из песочницы и выполнить код. Исправление в Cursor 3.0.

Полная рабочая настройка JWT bearer-аутентификации в minimal API в ASP.NET Core 11: установить пакет, подключить AddAuthentication().AddJwtBearer(), выпустить токен, защитить endpoint через RequireAuthorization, добавить политики ролей и claim, и протестировать всё это с помощью dotnet user-jwts.

Используйте cookie-аутентификацию для любого приложения, где единственным клиентом является браузер, а bearer-токены JWT приберегите для API, которые вызывают мобильные приложения, другие сервисы или сторонние клиенты. Вот полная матрица для принятия решения.

Новая настройка sandbox.credentials в Claude Code v2.1.187 запрещает чтение файлов с учетными данными и сбрасывает секретные переменные окружения перед запуском команд Bash в песочнице. Почему стандартная политика чтения была дырой и как ее закрыть.

Защищённая конечная точка, возвращающая 405 вместо 401, почти всегда означает, что маршрутизация отклонила HTTP-метод до запуска аутентификации, либо схема cookie перехватила вызов проверки. Вот как определить, что именно.

Действительный токен, который всё равно даёт 401, почти всегда означает, что обработчик bearer не запускался или запустился под не той схемой. Проверьте порядок middleware, схему по умолчанию, имя схемы и дошёл ли вообще заголовок до обработчика.

Полное руководство по TokenValidationParameters в ASP.NET Core 11: как работают ValidateIssuer, ValidateAudience и ValidateLifetime, какие на самом деле значения по умолчанию, почему Authority автоматически настраивает издателя и ключи подписи, ловушка ClockSkew в 5 минут и как читать коды ошибок IDX, когда отклоняется на вид валидный токен.