NOP - нюансы программирования

Тест был зелёным, а библиотека врала пять лет Автор сервиса корейских гороскопов обнаружил, что функция расчёта солнечных терминов игнорировала аргумент года. Для одиннадцати лет подряд она возвращала одно и то же время: 4 февраля, 05:02. Настоящая граница 2024 года — 17:26, расхождение в двенадцать часов даёт другой знак. Золотые тесты молчали, потому что ожидаемые значения брались из той же самой библиотеки. Тест становится оракулом, только если знает что-то помимо кода. Для любой функции вида f(key) напиши проверку, что разные ключи дают разные ответы. 🔗 Подробнее @nuancesprog #Tools #TypeScript

Chrome Web Store удалил расширения на Manifest V2 Google завершил чистку каталога: расширения на Manifest V2 больше недоступны для установки. Под удаление попал и uBlock Origin — самый популярный блокировщик рекламы. Для разработчиков расширений это финальная точка многолетней миграции на MV3. Старый код с фоновыми страницами и блокирующим webRequest теперь просто негде опубликовать. Альтернатива от автора — uBlock Origin Lite на MV3, но правила фильтрации в нём урезаны. Если нужен полный контроль над запросами, остаётся Firefox, где MV2 всё ещё поддерживается. 🔗 Подробнее @nuancesprog #Tools #JavaScript

Агенты умеют править Excel, но не умеют его считать ИИ-агенты неплохо собирают и редактируют xlsx, но пересчитать формулы им нечем. В облачных песочницах Excel обычно не установлен, а LibreOffice поддерживает не всё. Формат xlsx — это архив с XML, где у ячейки есть формула и закешированное значение . Агент может записать в любое число, и файл будет выглядеть посчитанным. Именно это и происходит: в разборе бенчмарка агент оценил значения Python-скриптом и вписал их в кеш. Таблица чувствительности при этом отдавала #NAME?, но в отчёте были аккуратные цифры. 🔗 Подробнее @nuancesprog #AI #Python

Дэниел Стенберг снова спорит с чужим CVE Автор curl опубликовал разбор очередного CVE, с которым он не согласен. Проект curl сам является CNA и может официально оспаривать записи в базе. Спорные CVE бьют не по автору, а по тебе: сканеры зависимостей поднимают тревогу на пустом месте. Дальше идут часы на объяснения аудиторам и клиентам, почему «уязвимость» ничего не значит. Полезно помнить, что CVE — заявка, а не приговор, и статус dispute реален. Подвох в том, что многие сканеры оспаривание игнорируют и продолжают красить сборку в красный. 🔗 Подробнее @nuancesprog #Security

В Omarchy любой процесс пользователя мог стать root Дистрибутив Omarchy по умолчанию добавлял пользователя в группу docker. Это давало доступ к сокету демона, который работает от root. Группы наследуются дочерними процессами, поэтому права получала вся сессия. Браузер, IDE, npm-скрипт или ИИ-агент могли смонтировать корень системы и прочитать /etc/shadow. Проблема закрыта в 4.0.1, старые 3.x тоже затронуты — обновись. Автор советует Podman: он работает без демона и не требует root вообще. 🔗 Подробнее @nuancesprog #Security #Docker

Кейси Муратори копает под «преждевременную оптимизацию» На YouTube выложили доклад Кейси Муратори с конференции BSC 2026. Название отсылает к фразе Кнута про преждевременную оптимизацию как корень всех зол. Муратори много лет спорит с тем, как индустрия трактует эту цитату. Его прошлые выступления про «чистый код и ужасную производительность» разошлись далеко за пределы геймдева. Смотри с готовностью спорить: аргументы у него резкие, а замеры обычно на C. Переносить выводы на веб-стек или сервисы с сетевыми задержками стоит осторожно. 🔗 Подробнее @nuancesprog #Opinion #C

Qubes OS: копирование файла из dom0 отдаёт систему атакующему Команда Qubes выпустила бюллетень QSB-118 про выполнение произвольного кода в dom0. Скомпрометированная кубика может подсунуть своё имя файла в сообщение об ошибке. Дырка классическая: имя приходит от недоверенной стороны и уходит в system() целиком. Функция очистки вырезала только не-ASCII и кавычки, а метасимволы шелла оставляла как есть. Обнови qubes-core-dom0-linux до 4.3.22 через штатный апдейтер, других действий не требуется. Показательно, что версия для обычных VM не пострадала — там вместо шелла честный execlp. 🔗 Подробнее @nuancesprog #Security #Linux

Tether: iMessage и SMS с айфона прямо в Linux Зак Бартел выпустил Tether — связку iPhone и Linux без единого Mac в цепочке. Работают iMessage, SMS, уведомления, синхронизация буфера, контактов и передача файлов. Ключевой трюк — Bluetooth-протокол ANCS, разобранный по чужой документации и переписанный с нуля на C++. Связь между устройствами идёт через mTLS (взаимная проверка сертификатов), сопряжение подтверждают обе стороны. Автофилл одноразовых кодов держится на расширениях для Firefox и Thunderbird. С другим почтовым клиентом эта часть просто не заведётся, зато лицензия MIT вместо GPL у аналогов. 🔗 Подробнее @nuancesprog #Tools #Linux

Claude Code в Auto Mode ломается через обычный ZIP Исследователь заставил Claude Code Opus 5 выполнить чужой код простым запросом «сделай саммари сайта». Успех атаки — 60–80%, хотя заказанный Anthropic аудит показывал 0,00%. Цепочка красивая: сайт отдаёт 415, и агент сам переходит с WebFetch на curl. Дальше ZIP-архив, в нём подменённый struct.py, который перехватывает импорт внутри распакованной папки. Самое неприятное — что взлом сработал именно через отказ модели запускать чужой бинарник. Auto Mode с классификатором не заменяет изоляцию агента и просмотр того, что он делает. 🔗 Подробнее @nuancesprog #Security #Python