👀 Возврат денег по order_id требует проверки владельца заказа

Обработчик получает order_id и помечает заказ как возвращённый. SQL-запрос параметризован, но пользователь может передать идентификатор чужого заказа и запустить возврат за другого человека.

Такой пример есть в разборе проверки бизнес-логики GitLab. В демонстрационном приложении refund_order пропускал проверку: принадлежит ли заказ вызывающему пользователю или имеет ли он права администратора.

Проверьте похожие обработчики у себя: возвраты, смену тарифа, скачивание документов. Для каждого добавьте тест с чужим идентификатором и убедитесь, что сервер отклоняет действие до изменения данных или их выдачи.

🐸 Библиотека программиста

👀 Beget восстанавливает сервисы после кибератаки. Общего срока пока нет.

Перед сбоем в сети провайдера зафиксировали почти миллион изменений маршрутов за час — прежний максимум за 90 дней не превышал 20 тысяч. Клиенты потеряли доступ к сайтам, почте и панели управления, а водители BelkaCar не могли завершить аренду.

Beget объявил форс-мажор и сообщил, что файловые бэкапы большинства ресурсов доступны. Но восстановление больших объёмов данных займёт время.

Что известно об атаке, резервных копиях и компенсациях

🐸 Библиотека программиста

👀 SUSE сократит каждого десятого сотрудника. Руководство ссылается на ИИ.

Около 190 человек могут потерять работу у разработчика корпоративного Linux. Гендиректор объясняет решение автоматизацией: по его словам, новые инструменты уменьшили потребность в некоторых ролях и позволяют сокращать уровни управления.

Сотрудников должны уведомить до 4 ноября, а новую стратегию оставшейся команде представят только 16-го. Ещё в сентябре компания предлагала работникам уйти добровольно — без заранее установленной цели по числу уходов.

Что SUSE сообщила об увольнениях и как к ним пришла

🐸 Библиотека программиста

🖥 ТВ-приставка могла нормально показывать фильмы, пока посторонние снимали её экран.

Google обвинила производителя Videostrong во внедрении бэкдора в прошивки. Более 1,3 млн приставок оказались в ботнете: через них пропускали чужой трафик, накручивали рекламу и собирали данные об аккаунтах.

Пользователю не требовалось ничего скачивать. Вредонос поставлялся вместе с устройством, а после удаления возвращался при перезагрузке. В одном из модулей программа даже сама выставляла согласие на передачу интернет-трафика.

Управляющие серверы заблокировали, но имплант остался в уже проданных приставках.

Как работало заражение и почему устройство сложно очистить

🐸 Библиотека программиста

🖥 Переключение PostgreSQL на реплику начинается с проверки её готовности

При обновлении сервера базу приходится передавать новой основной реплике. На время переключения запись приостанавливается, а приложение должно дождаться восстановления соединения.

В разборе архитектуры Neki показано, как сократить эту паузу: заранее проверить реплику, дождаться применения последних изменений и временно буферизовать запросы. Также разобран момент, до которого переключение можно быстро отменить.

Материал пригодится при подготовке обслуживания PostgreSQL. По нему удобно составить сценарий переключения и проверить, что приложение делает с запросами во время паузы.

🐸 Библиотека программиста

🖥 Ошибка кеша ИИ-модели открыла данные одних запросов другим

При работе GLM-5.3 в Workers AI обнаружили проблему изоляции: страницы KV-кеша могли попадать между запросами. Этот кеш хранит промежуточные данные модели и ускоряет генерацию ответов.

В разборе инцидента описаны несовпадение конфигурации, ошибка SGLang и принятые меры.

Если вы размещаете модели для нескольких пользователей, добавьте проверку изоляции кеша в тесты инфраструктуры. Особенно после изменения параметров запуска и обновления сервера инференса.

🐸 Библиотека программиста

🖥 Большое поле в PostgreSQL может храниться отдельно от строки

Длинный текст или JSON увеличивает стоимость чтения таблицы. PostgreSQL умеет сжимать такие значения и выносить их в отдельное хранилище TOAST.

В разборе механизма показано, какие значения туда попадают и как сжатие влияет на размер данных и скорость чтения. Отдельно рассмотрен переход на LZ4 в PostgreSQL 19.

Материал поможет разобраться с таблицами, где лежат документы, большие JSON и тексты. Начните с запросов, которые выбирают все столбцы: проверьте, нужны ли им тяжёлые поля.

🐸 Библиотека программиста

🖥 GitHub сократил получение истории звёзд с 2500 запросов до 24

Чтобы построить график популярности репозитория, клиентам приходилось загружать страницы со списками пользователей. Вместе с нужными датами они получали множество лишних данных.

GitHub переработал API истории звёзд: новый подход возвращает данные для графика и ограничивает работу базы.

Полезный пример для тех, кто проектирует API. Если клиент собирает статистику из тысяч объектов, посмотрите, можно ли вернуть ему готовые агрегаты отдельным запросом.

🐸 Библиотека программиста

👀 ИИ OpenAI подготовил 948 работающих эксплойтов для Linux

Система сама изучала код ядра, воспроизводила ошибки и проверяла атаки. По данным OpenAI, она подтвердила 1724 уязвимости и подготовила 948 эксплойтов, позволяющих локальному пользователю получить root.

Эксперимент стоил $1,2 млн на обращения к модели — примерно $1279 на один эксплойт. Результаты проверяли исследователи, а предложенные исправления передавали сопровождающим ядра.

Как устроен этот процесс и что именно удалось автоматизировать — в статье.

🐸 Библиотека программиста

📊 Apple урезала инженерам бюджет на ИИ на треть

По данным Bloomberg, в октябре дневной лимит для части инженеров снизили с $300 до $200. Для отдельных команд рассматривают дальнейшее сокращение до $100, а некоторым подразделениям вне разработки могут оставить $25.

При этом Apple продолжает внедрять ИИ в рабочие процессы. В Xcode уже встроены агенты, которые могут менять код, собирать проекты и запускать тесты.

Какие ограничения уже действуют и как сотрудники могут получить больший бюджет — в статье.

🐸 Библиотека программиста

🖥 Сбер открыл модель, которая превращает фото и голос в видеоаватара

Kandinsky Avatar анимирует губы, мимику, позу и жесты персонажа по записи речи. Для старта достаточно одного изображения. Опубликованы код и веса двух моделей — на 2 млрд и 21 млрд параметров.

Для запуска рекомендуют видеокарту NVIDIA с 48 ГБ памяти, для HD — с 80 ГБ. В тесте разработчиков ускоренная Lite создавала одну секунду видео за 8,7 секунды на H100.

Что доступно для самостоятельного запуска и как снизить расход видеопамяти — в статье.

🐸 Библиотека программиста

🖥 Качество ИИ-ревью можно проверять на реальных изменениях кода

Агент оставил десять комментариев к пул-реквесту. Какие из них указывают на ошибки, а какие только отнимают время команды?

В ReviewBench предлагают оценивать ревью на характерных для GitHub изменениях. Для проверки используют несколько источников подтверждения и метрики, связанные с рабочим процессом разработки.

Если выбираете инструмент автоматического ревью, соберите небольшую подборку своих изменений с известными дефектами. Сравните найденные проблемы, пропуски и ложные замечания.

🐸 Библиотека программиста

🖥 Публичный сайт можно обслуживать с сервера в частной сети

Приложение работает во внутренней сети, а пользователям нужен доступ через интернет. При этом хочется сохранить кеширование, WAF и защиту от ботов.

Cloudflare описала подключение публичного трафика к частным серверам через Cloudflare One. Между внешним запросом и приложением сохраняются сервисы обработки и защиты трафика.

Материал пригодится при публикации внутреннего приложения или переносе серверов в частную сеть. Перед настройкой составьте схему маршрутизации, проверки доступа и соединения с приложением.

🐸 Библиотека программиста

👀 OpenSSH пропускал в чужие аккаунты по слишком длинному паролю

Уязвимость sshhole позволяла обойти проверку, отправив строку длиной от 257 до 1024 байт. Под угрозой — определённые конфигурации с musl, отключённым PAM и разрешённым входом по паролю. В облачных образах Alpine такой вход мог привести к правам root.

Исправление уже вышло. Но просто обновить пакет недостаточно: работающий SSH-сервис нужно перезапустить.

Какие серверы затронуты и почему ошибка проверки открывала доступ — в статье.

🐸 Библиотека программиста

🖥 Discord уходит с Electron на Rust

Ранняя Windows-сборка Discord Phoenix занимала около 290 МБ памяти с двумя активными аккаунтами. Компания переписывает настольный интерфейс на GPUI — фреймворке команды Zed с отрисовкой на видеокарте.

На смартфонах тоже откажутся от React Native: нативный интерфейс будет работать с общим кодом на Rust. Даты публичного выпуска пока нет, а показанные 290 МБ относятся к конкретной тестовой сборке.

Что изменится в архитектуре Discord и как компания раньше убирала задержки с помощью Rust — в статье.

🐸 Библиотека программиста

👀 MAX хотят научить проверять, действует ли привязанный номер

Минцифры предложило подключить мессенджер к государственной системе мониторинга операторов связи. MAX сможет проверять статус номеров и учитывать прекращение договоров с операторами.

Пока это проект: обсуждение продлится до 23 ноября. Автоматическое удаление или блокировку аккаунтов после расторжения договора в сообщении ведомства не описывают.

Что предлагают изменить и какую проверку номеров правительство поручило разработать ещё в 2025 году — в статье.

🐸 Библиотека программиста

🖥 Range-запрос позволяет скачать нужный фрагмент большого файла

При перемотке видео или продолжении загрузки клиенту нужен определённый участок файла. HTTP позволяет указать диапазон байтов:

Range: bytes=1048576-2097151

В разборе Origin Range Requests показано, как частичные запросы взаимодействуют с сервером и кешем Cloudflare.

Если приложение раздаёт видео, архивы или другие большие файлы, проверьте ответы 206 Partial Content, заголовок Content-Range и поведение после обрыва загрузки. Это поможет найти лишние передачи данных и проблемы с докачкой.

🐸 Библиотека программиста

🖥 На Game Off предлагают собрать игру за ноябрь на тему SHIFT

Для небольшого проекта появился готовый срок: ноябрьский джем Game Off. Тема этого года — SHIFT. Её можно обыграть через смену перспективы, переключение состояний, движение или клавишу на клавиатуре.

В анонсе джема собраны условия участия и идеи для трактовки темы.

Подойдёт тем, кто давно хочет закончить свой проект. Выберите одну механику, соберите работающий прототип и оставьте время на тестирование и публикацию.

🐸 Библиотека программиста

🖥 9 ноября GitHub временно ограничит запуск pull_request_target

9 ноября с 19:00 до 21:00 МСК GitHub проверит блокировку pull_request_target в публичных репозиториях. Под ограничение попадут workflow, для которых этот триггер явно не разрешён политикой Actions. Постоянное применение начнётся 2 декабря, ещё одна проверка пройдёт 16 ноября.

Триггер запускает workflow в контексте основного репозитория и может давать доступ к его секретам. Если такой процесс выполняет код из чужого форка, секреты оказываются под угрозой.

До завтрашней проверки посмотрите в Insights, какие запуски заблокировало бы правило. Для нужных workflow можно настроить адресное разрешение. Заодно проверьте, какой код они скачивают и выполняют с повышенными правами.

🐸 Библиотека программиста

🖥 Cloudflare убрала центральную базу из пути выполнения SQL-запросов

Когда у каждого клиента своя база, служебной системе приходится управлять миллионами экземпляров: создавать их, хранить настройки и находить нужный сервер. Обращение к одному центральному сервису при каждом запросе быстро становится узким местом.

В разборе архитектуры D1 показано, как Cloudflare разделяет управление базами и выполнение SQL. Данные маршрутизации распределяются через Workers KV, а обычный запрос идёт к своей базе без обязательного обращения к центральному PostgreSQL.

Материал пригодится при проектировании сервисов с отдельными базами для клиентов. Проверьте, какие служебные запросы ваше приложение повторяет при каждой операции и какие из них можно убрать с этого пути.

🐸 Библиотека программиста