Google'ın Flask açığı, Zod'daki şüpheli kod ve Codex CLI'de otomatik servis

Bu sayıda

Google, Flask oturum çerezindeki imza anahtarı sızıntısıyla uzaktan kod çalıştırma açığını düzeltti
Zod 4.6.6 sürümünde şüpheli kod değişiklikleri
Codex CLI'de kalıcı arka plan servisi varsayılan olarak etkin
Intel'in FMA setindeki vfmaddrnd231pd komutu çalışmıyor
Janas, RAM'dan büyük LLM'leri SSD'den akışla çalıştırıyor
C dilinde yazılmış modern bir web uygulaması
ve 4 kısa haber

Ana haberler

Google, Flask oturum çerezindeki imza anahtarı sızıntısıyla uzaktan kod çalıştırma açığını düzeltti

Simon Koeck, developers.google.com üzerindeki Flask oturum çerezinin, imzaladığı sırada içerdiği OAuth client_secret değerini de taşıdığını keşfetti. Koeck, bu anahtarı kullanarak geçerli imzalı sahte oturumlar üretti ve sunucudaki pickle.loads işlemi üzerinden uzaktan kod çalıştırma (RCE) yeteneğini kanıtladı. Araştırmacı, RCE'yi doğrulamak için time.sleep(N) yükümlülüğüyle yanıt süresini ölçtü; bu, sunucunun komutu gerçekten çalıştırdığını gösterdi. Sorun, paylaşılan DevSite platformu üzerinden yedi Google alan adında geçerliydi. Google, 6 Ağustos 2026'da bildirilen açığı 7 Ekim 2026'da düzeltti ve araştırmacıya 90.000 dolar ödül ödedi.

simonkoeck.com Hacker News yorumları

Zod 4.6.6 sürümünde şüpheli kod değişiklikleri

Zod 4.6.6 sürümünde hata düzeltme ve performans iyileştirme iddiasıyla kod değişikliği yapıldı. Değişiklikler arasında dosya sistemi, işletim sistemi ve yol modüllerini içeren yeni importlar ile uzaktan kod getiren bir zararlı yazılım yükü yer alıyor. Proje açıklamasında, main dalındaki sürüm numarası artışının tek başına yayın yapmadığı, bir bakımcının npm ortamını onaylaması gerektiği belirtiliyor. Bu teknik detaylar, sürümün beklenmedik davranışlar içerebileceğine dair soruları gündeme getiriyor. Kodda hex string'i çözen ve Buffer nesneleri oluşturan karmaşık bir fonksiyon da dikkat çekiyor.

github.com Hacker News yorumları

Codex CLI'de kalıcı arka plan servisi varsayılan olarak etkin

OpenAI, Codex CLI 0.157.0 sürümünde etkileşimli oturum açıldığında kalıcı bir arka plan servisini otomatik başlatıyor. Bu servis, pencere kapatıldıktan sonra da çalışmaya devam ediyor ve saatte bir kez kendini güncelliyor. Kullanıcılar, bu davranışın paket yöneticisiyle kurulan sürümle çelişmesi ve aktif oturumları kesmesi nedeniyle `daemon_auto_start` ayarının varsayılan olarak kapalı olmasını talep ediyor.

github.com Hacker News yorumları

Intel'in FMA setindeki vfmaddrnd231pd komutu çalışmıyor

Intel Yazılım Geliştirme Kılavuzu'nda (SDM) yer alan vfmaddrnd231pd komutu, FMA setindeki diğer komutlardan farklı olarak yuvarlama modunu komut bazında kontrol etmeyi vaat ediyor. Ancak yazar, bu komutun GNU assembler tarafından tanınmadığını ve Intel'in C/C++ derleyicisinde ilgili intrinsiklerin bulunmadığını belirtiyor. Haswell işlemcisi üzerinde elle derlenip çalıştırıldığında #UD (Tanımsız komut) hatası veriyor. Yazar, 2024 sürümünde var olan bu komutun 2026 SDM sürümünden kaldırıldığını fark etti. En olası açıklaması, Intel'in son anda komutu donanımdan çıkarmış ancak dokümantasyonu tam olarak güncellememiş olması.

purplesyringa.moe Hacker News yorumları

Janas, RAM'dan büyük LLM'leri SSD'den akışla çalıştırıyor

Maurizio Cammalleri'nin geliştirdiği Janas-LLM, bellekten büyük dil modellerini NVMe SSD'den uzmanları akışlayarak çalıştırıyor. 32 GB RAM'li bir dizüstü bilgisayarda 48 GB'lık Qwen3-Next-80B modeli saniyede 37 token hızında yanıt üretiyor; aynı modelde llama.cpp 2.8 token/saniyede kalıyor. Proje, bağımlılıksız C diliyle yazılmış ve RAM'de kalan uzmanları önbelleğe alarak disk okumalarını azaltıyor. Geliştirici, bu aracın bir ürün değil, deneysel bir çalışma olduğunu ve API'nin sık değiştiğini belirtiyor.

github.com Hacker News yorumları

C dilinde yazılmış modern bir web uygulaması

Yazar, marketyour.games adlı ticari web ürününü C dilinde geliştirip CGI üzerinden sunduğunu belirtiyor. Uygulama; kullanıcı hesapları, Stripe ile ödeme ve Postmark ile e-posta gibi modern özellikler içeriyor. Yazar, CGI'nın 2026'da hâlâ geçerli olduğunu savunuyor. Sistem, OpenBSD, httpd ve SQLite üzerine kurulu; bağımlılıklar libcurl, libsodium ve libcjson ile sınırlı. Tüm statik varlıklar derlenerek tek bir binary içine gömülüyor. Yazar, bu yaklaşımın hata ayıklamayı kolaylaştırdığını ve bağımlılık zincirini kısalttığını öne sürüyor.

prophitt.me Hacker News yorumları

Kısa haberler

Kriptografik doğru cevaplar 2026 sonrası için güncellendi. Colin Percival ve Thomas Ptacek geleneğini sürdüren yeni “Kriptografik Doğru Cevaplar” yayımlandı. 2029’a kadar tamamlanması gereken kuantum sonrası geçişe uyum için asimetrik öneriler değişti; simetrik kriptografi ise güvenli kabul ediliyor.

words.filippo.io Hacker News yorumları

Fransız süpermarketlerinde soğuk zincir yazılımı siber saldırıya uğradı. Yüzlerce Fransız süpermarketindeki buzdolapları ve dondurucular, Danfoss'un uzaktan yönetim yazılımına yapılan siber saldırı sonucu ısıtıldı. Saldırı, milyonlarca avroluk taze ve donmuş gıdanın bozulmasına neden oldu; mağazalar ürünleri imha etmek zorunda kaldı.

bbc.com Hacker News yorumları

New Constructs, Anthropic'in Nasdaq'taki olası halka arzını 2026'nın en absürt IPO'su olarak nitelendirdi. Bağımsız araştırma şirketi New Constructs, Anthropic'in Şükran Günü'nden önce Nasdaq'ta halka açılma planına karşı çıkıyor. Şirket, Anthropic'in 2 trilyon dolarlık piyasa değerine ulaşması için Nvidia'nın son bir yıllık kârının iki katını elde etmesi gerektiğini ve mevcut finansal verilerin yatırımcılar için büyük risk taşıdığını savunuyor.

cnbc.com Hacker News yorumları

Rich Hickey: LLM'ler araç değil, otomasyondur. Rich Hickey, LLM'lerin araç olmadığını savunuyor. Ona göre araçlar kontrol ve geri bildirim gerektirirken, LLM'ler insan müdahalesi olmadan çalışan otomasyon sistemleridir. Hickey, LLM kullanımının öğrenme sürecini kaçırdığını belirtiyor.

linkedin.com Hacker News yorumları