30345
توییت های برنامه نویسی و طراحی وب :) @dvtwi Hashtags: devtwitter.t.me/5 DevBooks Channel: https://t.me/+AYbOl75CLNYxY2U0 Github: https://github.com/DevTwitter X: https://x.com/devtwittir
آسیب‌پذیری جدید Docker | CVE-2026-17106
یه آسیب‌پذیری با نام CopyEscape در Docker پیدا شده که به قابلیت docker cp مربوط میشه.
داستان ساده‌ش اینه :
وقتی با docker cp فایلی رو بین Container و Host جابه‌جا میکنیم، توی نسخه‌های آسیب‌پذیر، یک Container مخرب میتونه با استفاده از Symlink مسیر فایل رو تغییر بده و باعث بشه فایل خارج از مسیر موردنظر روی Host نوشته یا Overwrite بشه.
یعنی چیزی که قرار بوده فقط داخل یه مسیر خاص کپی بشه، ممکنه به مسیر دیگه‌ای روی Host برسه. ️
CVE: CVE-2026-17106
Severity: High
CVSS: 7.1
نسخه‌های آسیب‌پذیر: Docker Engine قبل از 29.7.0
نسخه اصلاح‌شده: 29.7.0 و بالاتر
اگر Docker دارید، حتماً نسخه‌تون رو بررسی و در صورت امکان به نسخه اصلاح‌شده یا آخرین نسخه پایدار ارتقا بدید.
@DevTwitter | <Mohadeseh Heshmatian/>
بعضی پروژه‌ها از یه نیاز شروع میشن، بعضیها هم از یه پست لینکدین
چند وقت پیش تو لینکدین یه پروژه دیدم که میشد باهاش نقشه ایران رو بر اساس داده‌ها رنگ‌آمیزی کرد.
ایده برام خیلی جذاب بود، ولی همون موقع با خودم گفتم اگه بشه یه کم بیشتر توسعه دادش چی؟
و این شد شروع Iran Map Studio
شروع کردم به ساختن نسخه‌ای که علاوه بر نقشه کلی ایران، بشه روی استانها و شهرستانها هم کار کرد؛
داده وارد کرد، ظاهر نقشه رو تغییر داد و در نهایت خروجی مناسب برای گزارش، ارائه، شبکه‌های اجتماعی و... گرفت.
کم‌کم چندتا چیز دیگه هم بهش اضافه شد
- ورود داده از Excel، CSV و JSON
- تنظیم رنگها و پالتهای مختلف
- تغییر فونت و اندازه نوشته‌ها
- فارسی و انگلیسی
- نمایش یا حذف اسم مناطق
- خروجی PNG و JPG با کیفیتهای مختلف
- و مهم‌تر از همه، پردازش اطلاعات کاملاً داخل مرورگر انجام میشه و داده‌ای به سرور ارسال نمیشه.
فعلاً این نسخه اولیشه و احتمالا هنوز کلی جا برای بهتر شدن داره.
اتفاقا یکی از دلایلی که الان منتشرش میکنم همینه
گیتهاب:
https://github.com/Hhhkarimi/IranMapStudio
نسخه آنلاین:
https://iran-map-studio.vercel.app/
اگه پروژه براتون جالب بود، یه ستاره روی GitHub خیلی بهم انرژی میده.
@DevTwitter | <Hossein Karimi/>
با RyzerDNS، تحریم‌ها دیگر مانع شما نیستند.
از هوش مصنوعی‌هایی مثل ChatGPT، Gemini و Claude گرفته تا Spotify و Adobe و هر سرویس بین‌المللی دیگر و حتی گیمینگ— بدون محدودیت، راحت و مستقیم.
یک سرویس DNS پیشرفته که تنها با تغییر DNS دستگاه، بدون نیاز به VPN یا هیچ نرم‌افزار اضافه‌ای، دسترسی شما را به تمام سرویس‌های تحریم‌شده باز می‌کند.
https://ryzerdns.ir
الان Open Dots معرفی شد؛ همون قابلیت‌ها، با یک‌دهم هزینه!
شرکن OpenAI همین دیروز Dot رو برای کاربران Pro عرضه کرد؛ اما Open Dots متن‌بازه، روی مک اجرا میشه و هزینه خیلی کمتری داره.
چطور کار میکنه؟
- هر Dot مرورگر اختصاصی خودش رو داره که به‌صورت امن لاگین میمونه
- به Gmail، Calendar و بیش از ۱۵۰۰ اپلیکیشن دیگه وصل میشه و میتونه براشون Trigger بسازه
- می‌تونید حین مکالمه بهش کار بدید و ازش بخواید انجامشون بده
- چند Dot می‌تونن با هم هماهنگ بشن و Reminder تنظیم کنن
ساخته‌شده با Composio و OpenRouter.
https://github.com/composio-community/open-dot
@DevTwitter | <امیرحسین اسلامی/>
این سایتم تمام ابزار ها و چیزای مربوط به وایب کدینگ رو جمع کرده یکجا :
https://vibecodes.net
@DevTwitter | <alireza kn/>
پروژه OpenDots یک جایگزین متن‌باز و قابل self-host برای محصول Dots از OpenAI است که توسط تیم CopilotKit منتشر شده.
ایده اصلی آن ساخت همکاران هوش مصنوعی است که هر کدام نقش مشخصی دارند، بین محیط چت متنی، تماس صوتی و اسلک جابه‌جا می‌شوند و به یک محیط کامپیوتر ایزوله (شامل مرورگر اختصاصی، سیستم فایل و دسترسی به ترمینال) دسترسی دارند تا کارهای واقعی انجام دهند. این سیستم امکان ایجاد فضاهای کاری مستنداتی و کارت‌های تایید انسانی (Human-in-the-Loop) قبل از ذخیره نهایی تغییرات را هم فراهم می‌کند.
لینک پروژه در گیتهاب:
https://github.com/CopilotKit/OpenDots
@DevTwitter | <Mehdi Allahyari/>
سایتی که حرصتان را درآورده با آرپی‌جی نابود کنید!
بازی تحت وب Destroy Any Website یک تجربه سرگرم‌کننده برای تخلیه عصبانیت است که به شما اجازه می‌دهد آدرس هر سایتی را وارد کنید و نسخه شبیه‌سازی‌شده آن را با یک کاراکتر خطی و سلاح‌هایی مثل آرپی‌جی و شعله‌افکن نابود کنید. این بازی از حالت چندنفره تا ۶ نفر هم پشتیبانی می‌کند تا بتوانید همراه دوستانتان وارد عملیات تخریب شوید؛ البته همه‌چیز فقط یک شبیه‌سازی است و آسیبی به سایت‌های واقعی وارد نمی‌شود.
لینک بازی:
https://destroy.spritefusion.com
@DevTwitter | <Digiato/>
صدای ویندوزهای قدیمی یادتونه؟
صدای Startup ویندوز XP، خطای Windows 98، صدای وصل شدن دستگاه‌ها و کلی صدای خاطره‌انگیز دیگه...
یک نفر همه صداهای ویندوز از Windows 3.x تا Windows 11 رو یکجا جمع کرده.
بیش از ۳۰ سال تاریخ صوتی ویندوز، در یک ریپازیتوری!
https://github.com/MCPlayer2015/all-windows-sounds
@DevTwitter | <MehrdadLinux/>
اگه antigravity بهتون خطای not eligible میده دوای دردتون پیش منه
چون روش های روسی دیگه جواب نمیده یه روش جدید براتون پیدا کردم :
https://github.com/fulldiagnose/antigravity-fixer
عشق کنید
@DevTwitter | <Reza/>
برنامه search bot رو نوشتم کارش اینه می یاد از تمامی سایت های مثل libGen(اناناس ارکایو) تمامی PDF ها مرتبط به query رو دانلود می کنه همه رو RAG می کنه بعد برات تحلیل می کنه. برای استفاده پیشنهاد من استفاده از مدل خودمه.
https://github.com/raaaas/search-bot
@DevTwitter | <raa's/>
🔎 #وبینار عملی ریشه‌یابی خطا با Sentry
🔮 در وبینار «از گزارش خطای کاربر تا ریشه‌یابی مشکل با Sentry» با یک سناریوی عملی، مسیر رسیدن از گزارش یک مشکل به سرنخ‌های لازم برای ریشه‌یابی آن را دنبال میکنیم.
در این وبینار:
• #سنتری را راه‌اندازی میکنیم و به یک اپلیکیشن متصل می‌شویم
• یک خطا را ثبت میکنیم و با اطلاعاتی که Sentry در اختیارمان می‌گذارد، علت آن را بررسی میکنیم
• با Session Replay اتفاقات پیش از بروز خطا را از دید کاربر بازبینی میکنیم
• با Trace و Span مسیر اجرای عملیات را دنبال و گلوگاه‌های عملکردی اپلیکیشن را پیدا میکنیم.
📣 ارائه‌دهنده: علیرضا بانشی | SaaS Team Lead در هم‌روش
📅 سه‌شنبه ۲۱ مهر ساعت ۱۹
🔗 ثبت‌نام رایگان:
https://hmrv.sh/WTeyZ7
☁️@hamravesh
تست‌های سنتی E2E شکننده‌اند؛ یک تغییر جزیی در CSS یا تایمینگ انیمیشن، کل CI/CD pipeline را متوقف می‌کند. اما آیا ایجنت‌های هوش مصنوعی می‌توانند جایگزین آن‌ها شوند؟
تیم مهندسی Slack بعد از ۲۰۰ تست مبتنی بر ایجنت به یک نتیجه کلیدی رسید: تست‌های سنتی یک مسیر ثابت را اجبار می‌کنند، در حالی که ایجنت‌ها رسیدن به هدف را راستی‌آزمایی می‌کنند و تغییرات رابط کاربری را خودکار مدیریت می‌کنند.
اشتباه بزرگ این است که ایجنت‌ها را روی هر Pull Request اجرا کنیم، چون زمان و هزینه بسیار بالایی دارند. معماری درست، هرم سه‌لایه است: تست‌های قطعی سریع روی هر کامیت و PR برای بررسی مسیرهای بحرانی، و ایجنت‌های متصل به Playwright MCP در پس‌زمینه برای تست اکتشافی شبانه روی محیط‌های Staging.
در پست جدید MLnotes این معماری، نتایج بنچمارک Slack و نحوه پیاده‌سازی آن را بررسی کرده‌ام:
https://mlnotes.substack.com/p/tests-enforce-journeys-agents-verify
@DevTwitter | <Mehdi Allahyari/>
شرکت امنیتی Group-IB یک بدافزار جاسوسی مبتنی بر تلگرام با نام HEAVYGRAM و یک ابزار مبتنی بر زبان دلفی (Delphi) به نام CRUDEEXCLUDE را به گروه هکری وابسته به ایران، معروف به « حنظله » ( Handala Hack )، نسبت داده است. بر اساس این گزارش، HEAVYGRAM دارای قابلیت‌های داخلی برای اجرای فرمان از راه دور، شناسایی اطلاعات سیستم و شبکه، سرقت داده‌ها و فایل‌های نشست تلگرام، ضبط تصویر صفحه، بارگذاری کتابخانه‌های DLL، پاک‌سازی فایل و ایجاد پایداری از طریق کلیدهای اجرای خودکار رجیستری ویندوز است.
در سوی دیگر، CRUDEEXCLUDE ابزاری برای آماده‌سازی محیط سیستم پیش از استقرار مراحل بعدی حمله، از جمله HEAVYGRAM، به کار می‌رود و با پنهان‌سازی خود در قالب یک برنامه ظاهراً قانونی، مسیرهای معافیت (exclusion paths) در Microsoft Defender را برای فرار از شناسایی تنظیم می‌کند. این یافته‌ها در ادامه هشدار اداره تحقیقات فدائی آمریکا (FBI) مطرح می‌شود که ابتدا در مارس ۲۰۲۶ و سپس اوایل همین هفته منتشر شد و در آن، عوامل سایبری ایرانی وابسته به وزارت اطلاعات (MOIS) به هدف قرار دادن مخالفان ایرانی، روزنامه‌نگاران منتقد دولت ایران و سایر گروه‌های اپوزیسیون برای جمع‌آوری اطلاعات، افشای داده‌ها و آسیب‌رساندن به اعتبار اهداف متهم شده‌اند. مرکز ملی امنیت سایبری بریتانیا (NCSC) نیز همین خانواده بدافزاری را تحت نام CHOSEN BRICK رهگیری کرده و آن را ابزاری چندمنظوره برای «پشتیبانی از طیفی از نتایج عملیاتی احتمالی» توصیف کرده است.
بر اساس این گزارش، حنظله که کمی پس از حملات مسلحانه ۷ اکتبر ۲۰۲۳ حماس و سایر گروه‌های شبه‌نظامی فلسطینی علیه جنوب اسرائیل شکل گرفت، در واقع یک هویت آنلاین است که توسط گروه Void Manticore (با نام‌های دیگر Banished Kitten، Red Sandstorm و Storm-0842) وابسته به وزارت اطلاعات ایران اداره می‌شود و پیشینه‌ای در انجام حملات مخرب پاک‌کننده داده (wiping) و عملیات هک و افشا دارد. حملات معمولاً با مهندسی اجتماعی از طریق پیام‌رسان‌هایی مانند تلگرام، واتس‌اپ و اینستاگرام آغاز می‌شود، جایی که مهاجمان با بهانه ارائه پشتیبانی فنی یا وانمود به تماس‌های مورد اعتماد با قربانیان ارتباط برقرار کرده و سپس بدافزار را در قالب نصب‌کننده‌ای بی‌خطر، شبیه‌سازی‌شده به برنامه‌های واقعی مانند Pictory، KeePass و تلگرام ارسال می‌کنند. طبق گزارش Group-IB، HEAVYGRAM که برای اولین بار در سپتامبر ۲۰۲۳ شناسایی شد، از تلگرام به‌عنوان کانال فرمان‌و‌کنترل (C2) استفاده می‌کند و قابلیت‌هایی مانند فهرست‌کردن برنامه‌های در حال اجرا، ضبط تصویر صفحه، سرقت داده‌های مرورگر و رمزهای عبور ذخیره‌شده، روشن‌کردن میکروفون، کپی داده‌های تلگرام و واتس‌اپ، دانلود بدافزارهای دیگر و حذف فایل‌ها را دارد. این گزارش می‌افزاید که استفاده گسترده از تلگرام در این عملیات‌ها به‌ویژه قابل توجه است زیرا کانالی رمزنگاری‌شده بومی برای فرمان‌و‌کنترل با هزینه پایین راه‌اندازی، نگهداری و تغییر فراهم می‌کند.
https://group-ib.com/blog/heavygram-handala-hack-telegram-c2/
@DevTwitter | <Teegra/>
اگر با فریم‌ورک tkinter کار می‌کنید، احتمالا تا الان با عوض کردن رنگ titlebar به مشکل برخوردید. این پروژه با regedit توی windows11 مشکلو حل میکنه.
https://github.com/unikOne56/tkinter-win11-titlebar
@DevTwitter | <Vahid/>
خرید اشتراک تلگرام پرمیوم (Telegram Premium) و تلگرام استارز (Telegram Stars) – فعال‌سازی فوری و بدون نیاز به لاگین
https://tasianet.com/products?q=telegram
یک API و ۴ خروجی؛ یک تغییر و ۴ دردسر!
این اتفاق زمانی میفته که SDK، CLI، Documentation و Schema رو جدا از هم نگهداری میکنیم.
مشکل اینجاست که یک تغییر کوچک در API میتونه باعث ناهماهنگی در یک یا چندتا از این منابع بشه.
شرکت Cloudflare برای حل این مشکل Forge رو منتشر کرده. ایده‌اش اینه که با یک API Definition چندین خروجی بتونیم داشته باشیم و به‌جای اینکه SDK یا Documentation رو دستی آپدیت کنیم، Forge اون‌ها رو از طریق API Definition تولید میکنه.
حتی میشه این فرایند رو در CI داشت. یعنی وقتی API تغییر میکنه، Forge میتونه توی همون Pull Request خروجی‌های جدید رو بسازه و Preview تحویل بده. اینطوری قبل از اینکه تغییر وارد Release بشه، میبینیم چه چیزهایی تغییر کرده.
این فقط محدود به SDK نیست. یک OpenAPI میتونه به SDK، CLI، Documentation و یا خروجی‌های سفارشی تبدیل بشه.
به نظرم بخش مهم ماجرا خود Forge نیست، اینه که API باید Source of Truth باشه، نه یکی از چندین منبع. هر چیزی که از API ساخته میشه، بهتره تا جای ممکن Generated باشه، نه چیزی که یک نفر باید بعدا به‌صورت دستی Sync نگهش داره.
کلادفلر این پروژه رو با لایسنس Apache 2.0 به صورت متن‌باز منتشر کرده:
https://github.com/cloudflare/forge
@DevTwitter | <Mehrad S/>
سایت serv00.com سرور freebsd مادام العمر با ۵۱۲ مگ رم و ۳ گیگ فضا فقط به ۳۰۰۰ نفر میده.
@DevTwitter | <Reza Shakeri/>
گوگل چند وقت پیش ax رو معرفی کرد که اُپن سورسه ولی کم دیدم در موردش حرف زده بشه.
مشکل kubernetes اینه که برای pod ها همونقدر که cpu و ram درخواست کرده باشن کنار میذاره، فرقی نداره مصرف واقعی چقدر باشه!
اما ایجنت بیشتر وقتش منتظره، چند ثانیه کار میکنه، یه tool call میزنه بعد دوباره منتظر تایید یا جواب میمونه! این انتظار از چند ثانیه طول میکشه تا ساعت‌ها و...
و اگه شما هزاران ایجنت روی سرور deploy می‌کنید این اصلا خبر خوبی نیست چون منابع برای هر ایجنت دائمی کنار گذاشته میشه :)
حالا ax اومده و اینو با agent substrate حل کرده! وقتی ایجنت منتظره ازش یه snapshot میگیره، بعد جاشو میده به یک ایجنت دیگه، هر موقع ایجنت خواست ادامه بده، زیر ۵۰۰ میلی‌ثانیه state قبلیش رو restore میکنه!
اینجوری روی یک سرور میشه تا صدها و یا هزاران ایجنت ران کرد!
https://github.com/google/ax
@DevTwitter | <Amir/>
مخزن Traycer: مرکز فرماندهی برای کدنویسی
ایجنت‌هایی که داری (Claude Code، Codex، Cursor و...) رو وصل میکنی و چندتا رو موازی اجرا میکنی بدون اینکه context رو از دست بدی.
انگار که یک Combo از ایجنت‌هات بسازی که همزمان روی یه context کار کنن!
گیتهاب:
https://github.com/traycerai/traycer
@DevTwitter | <Diego Jr/>
می‌تونید به بیشتر از 3000000 میلیون skill از سایت زیر دسترسی داشته باشید:
https://skillsmp.com/
@DevTwitter | <Reza Shakeri/>
این بار ساده‌تر با لینگانو ادامه بده! 📕
📍دسترسی نامحدود به دوره‌ها
📍پنل اختصاصی در سایت و اپلیکیشن
📍تعیین سطح و مشاوره اختصاصی
دوره جامع لینگانو با ۷۵٪ تخفیف و پرداخت ۴ قسطه اسنپ‌پی؛ برای مشاوره تخصصی و ثبت نام دوره، همین حالا کلمه ((جامع)) رو ارسال کنید
👇🏻👇🏻👇🏻👇🏻
@lingano_support_2
@lingano_support_2
سرویس Cloudflare می‌خواد به یه مرجع صدور گواهی عمومی تبدیل بشه.
هدفشون چیه؟ میخوان گواهی‌های دیجیتالی بر پایه Merkle Tree Certificates صادر کنن که در برابر حملات کامپیوترهای کوانتومی در آینده مقاوم باشه.
یعنی خیلی قبل‌تر از اینکه کامپیوترهای کوانتومی بتونن رمزنگاری‌های فعلی رو بشکنن، Cloudflare داره امنیت سایت‌ها رو برای نسل بعدی اینترنت تضمین میکنه.
@DevTwitter | <Behrad Javed/>
اینم برای کسایی که بکند رو بهتر میخوان یاد بگیرن
https://www.youtube.com/watch?v=_PipiJ_i6Pk
@DevTwitter | <Alireza/>
کتابخانه‌ی آفلاین کد شما - CodeBank
اگر یه کتابخانه‌ی آفلاین، سبک و هوشمند از کدها، آبجکت‌ها و اسنیپت‌های برنامه‌نویسی که بهت اجازه میده به‌جای اینکه هر بار کدهای تکراری، سخت یا وقت‌گیر رو از صفر بنویسی، فقط کپی کنی و توی پروژه‌ت استفاده کنی. CodeBank چاره ی مشکلته!
فرض کن کانکشن SQL میخوای، یه الگوریتم آماده لازم داری، یا یه Helper Function پرکاربرد — به‌جای ساعت‌ها سرچ و کدنویسی، توی چند ثانیه کد مورد نظرت رو پیدا میکنی و کارت رو راه میندازی. کاملاً آفلاین، بدون نیاز به اینترنت، همیشه در دسترس.
این پروژه هنوز کامل نیست اما همین الان قابل استفاده‌ست و داره هر روز بزرگ‌تر میشه. هدفم اینه که CodeBank خیلی فراتر از یه مخزن کد ساده باشه — یه مرجع کامل و دستیار روزمره برای برنامه‌نویس‌ها. اگه دوستش داشتی، خوشحال میشم به ریپو ستاره بدی، فیدبک بدی یا توی توسعه‌ش کمک کنی.
GitHub: https://github.com/Matin-dev-2010/CodeBank
@DevTwitter | <متین عباس‌زاده/>
اگه با Qoder کار میکنی و فارسی‌نوشتن توش اذیتت میکنه، این ابزار به‌دردت می‌خوره
https://github.com/Pezhm4n/qoder-rtl.git
پچ Qoder Persian RTL یه ابزارِ کوچیک و متن‌بازه که چتِ Qoder رو برای فارسی‌زبون‌ها قابلِ تحمل میکنه:
نوشته‌ها خودکار راست‌به‌چپ میشن، همراه فونتِ وزیرمتن. کد و ترمینال و مسیرِ فایل‌ها همون چپ‌به‌راستِ همیشگی‌شون رو حفظ می‌کنن.
به هیچ فایلی از Qoder دست نمی‌زنه، و آپدیتِ خودکارِ برنامه هم خرابش نمی‌کنه — فقط تا وقتی ترمینال باز باشه فعاله و با بستنش هم برمی‌گرده به حالتِ عادی. نصب و اجراش هم فقط یه خطه:npx qoder-rtl
پروژه رایگان و اوپن‌سورسه، فقط Node.js لازم داره.
@DevTwitter | <Pezhman/>
دوره‌ی Stanford درباره‌ی Transformers و LLMها در فصل جدید شروع شده
دوره CME 295 از پایه‌ی Transformer می‌ره تا LLM Training، Fine-tuning، Reasoning، RAG و Agentic LLMs.
مدرس‌هاش هم افشین و شروین عمیدی هستن
جلسه اول:
https://youtu.be/114i2Kz-LZA
@DevTwitter | <Ali Rashedi/>
این رایگانه و خیلی سرویس خفنیه.
ایده اینه که آدرس هر سایتی که خواستی رو بهش بدی و این سرویس طراحی اون سایت رو به عنوان یک سیستم یکپارچه تحلیل کنه. از تایپوگرافی و رنگ و فاصله‌گذاری گرفته تا گرید، کامپوننت‌ها، موشن و حتی اون جزئیات و امضای طراح که باعث میشه اون سایت منحصر‌به‌فرد به نظر برسه.
خروجی هم فقط یه اسکرین‌شات یا یه مشت کد و عدد نیست. منطق و تصمیم‌های پشت طراحی رو درمیاره و به شکل teardown، پرامپت آماده برای ایجنت، design tokens و DESIGN.md تحویل میده.
یه کتابخانه هم داره که کلی از سایت‌های معروف رو تحلیل کرده و پرامپت دیزاینشون رو آماده کرده.
الان از این لینک یه نگاهی بهش بنداز و یه سایت رو رایگان تحلیل کن:
https://design-dna-seven.vercel.app/
@DevTwitter | <Saman Faegh/>
خیلی ناگهانی برای یه مسئله‌ای نیاز پیدا کردم که یه بروزر داشته باشم که هر وقت یه session ازش ران میکنم، تماما پاک و مطهر باشه و کوکی موکی توش نباشه؛
این بالا آومد.
روی سرور گذاشتمش ایزی‌لی و استفاده کردم ازش.
https://github.com/Ryan-PG/fresh-session-remote-browser
@DevTwitter | <Ryan Heida/>
فریم‌ورک Ruby on Rails برای یک آسیب‌پذیری بحرانی در Active Storage با شناسه CVE-2026-66066 و امتیاز CVSS 9.5 وصله‌های امنیتی منتشر کرده است.
این نقص به مهاجمان احراز هویت‌نشده امکان می‌دهد از طریق بارگذاری تصاویر دستکاری‌شده، فایل‌های دلخواه را از سرورهای برنامه بخوانند و به اطلاعات حساسی نظیر کلیدهای رمزنگاری (secret_key_base)، رمزهای عبور پایگاه داده، اعتبارنامه‌های فضای ابری و توکن‌های API دسترسی یابند.
برنامه‌های آسیب‌پذیر از کتابخانه libvips برای پردازش تصویر در Active Storage استفاده می‌کنند و آپلود تصویر از کاربران غیرمعتمد را می‌پذیرند.
نسخه‌های Rails 7.0.0 تا 7.2.3.1، Rails 8.0.0 تا 8.0.5 و Rails 8.1.0 تا 8.1.3 در معرض خطر هستند. برنامه‌هایی که از MiniMagick استفاده می‌کنند از این مسیر حمله مصون‌اند.
مدیران سیستم باید هرچه سریع‌تر به نسخه‌های Rails 7.2.3.2، 8.0.5.1 یا 8.1.3.1 ارتقا دهند و تمام اعتبارنامه‌های قابل دسترس توسط فرآیند Rails را تعویض کنند.
@DevTwitter | <Teegra/>
اگر یه مدل ۲۰۰ هزار توکن Context داشته باشه، اما ندونه کدوم بخش از اطلاعات مهم‌تره، واقعاً از یک مدل ۳۰ هزار توکنی که حافظه رو به صورت تطبیقی مدیریت میکنه بهتره؟ به نظرم نه!
ما امروز با بزرگ‌تر کردن Context Window، تلاش میکنیم مشکل تخصیص منابع رو با افزایش ظرفیت حل کنیم. و این در حالی رخ میده که سیستم‌عامل‌ها سال‌ها پیش راه حل این مسئله رو پیدا کرده بودن.
حافظه فیزیکی از همون اول محدود بود، اما سیستم‌عامل با مکانیزم‌هایی مثل Paging و Swapping، تخصیص RAM رو مدیریت می‌کرد. Page های مورد نیازش رو داخل حافظه نگه می‌داشت و داده‌های کم استفاده رو به فضای ذخیره‌سازی منتقل می‌کرد.
و به نظرم همین ایده میتونه توی مدیریت Context برای LLM ها و Agent ها هم استفاده بشه و پروژه Orven تلاشی برای اینکه مدیریت Context مثل مدیریت حافظه توی سیستم‌عامل‌ها انجام بشه.
GitHub:
https://github.com/naseridev/orven
@DevTwitter | <Nima Naseri/>