PHP, Laravel i WordPress.
Brak odpowiednich reguł bezpieczeństwa w punkcie końcowym kolekcji `/api/stores/{id}/addresses` pozwolił każdemu zalogowanemu użytkownikowi CoopCycle na wyliczanie identyfikatorów sklepów oraz pozyskiwanie pełnych imion i nazwisk, adresów oraz kodów pocztowych, co naruszyło prywatność w wielu spółdzielniach.
Audyt 57 publicznych modułów PrestaShop wykazał, że brak unikalnych przestrzeni nazw w kluczach konfiguracyjnych oraz nieostrożne wywołania Configuration::deleteByName pozwalają procedurze odinstalowywania modułu na usuwanie ustawień należących do niepowiązanych rozszerzeń, co wprawia sprzedawców w zakłopotanie.
Shopware 6.7.14.0 wprowadza nową przestrzeń nazw atrybutów BC-Change, która oddziela rzeczywiste deprecjacje od niegroźnych zmian w API, co pozwala programistom skupić się na ostrzeżeniach CallSiteCompatibilityChange i ExtenderCompatibilityChange przed wydaniem wersji 6.8.
Użytkownik z uprawnieniami tylko do odczytu mógł wywołać nieudokumentowany punkt końcowy markCancelled za pomocą żądania GET, co skutkowało usuwaniem rekordów płatności i naruszaniem ścieżek audytu. Błąd wynikał z listy dozwolonych (allowlist), która pomijała metody zmieniające status, i został naprawiony w wersji 3.2.0.
Laravel 13 wprowadza wbudowane atrybuty PHP do konfiguracji modeli, co pozwala zastąpić tradycyjne właściwości $table, $fillable i $casts typowanymi adnotacjami opartymi na refleksji, bez wpływu na działanie istniejącego kodu.
Ustawienie DISABLE_WP_CRON = true powstrzymuje WordPressa jedynie przed wykonywaniem własnych żądań loopback; adres URL wp-cron.php pozostaje dostępny i może być poddawany intensywnym atakom, co wyczerpuje procesy PHP i prowadzi do ataków typu denial-of-service na hostingach współdzielonych.
Luka wynikała z mechanizmu route-model binding w frameworku Laravel oraz braku weryfikacji zakresu najemcy (tenant-scope), co pozwalało właścicielowi na żądanie dowolnego identyfikatora użytkownika i nadpisanie jego danych uwierzytelniających, co w efekcie przenosiło konto ofiary do firmy atakującego.
Zamiana 300 wywołań repozytorium na produkt na jedno zapytanie kolekcji drastycznie zmniejszyła liczbę zapytań, jednak wbudowany filtr stanów magazynowych Magento usunął wszystkie SKU z zerową ilością, przez co klienci widzieli niepełny katalog.
A partner SDK cached a 30-day JWT in plain text, letting an attacker replay it from abroad. The breach forced TrendVidStream to replace long-lived JWTs with 15-minute access tokens and single-use refresh tokens that trigger immediate revocation on reuse.
Od wersji WP 5.3 strona weryfikacji adresu e-mail administratora pojawia się co kilka miesięcy, zmuszając uruchomienia Playwright bez nadzoru do oczekiwania na przycisk, który nigdy się nie pojawia. Dodanie szybkiego sprawdzenia adresu URL i kliknięcie „I’ll wait” przywraca deterministyczną automatyzację.
By moving region-specific routing data into etcd with watch, lease and CAS primitives, the platform now pushes changes to all eight routers in about a second. A tiny Go sidecar writes the config to shared memory, letting PHP serve requests with zero-latency reads.
From 1 January 2026 every B2B transaction in Croatia must pass a Schematron file written in XSLT 2.0, but PHP’s built-in libxslt only supports XSLT 1.0. Developers must either add a native Saxon-C extension, call an external service, or re-code the 62 checks in PHP to keep invoicing alive.
The team split the front page into three fragments—video grid, language switcher and a live header—using Varnish TTLs of 60 s, 24 h and no cache, stripped cookies from anonymous parts, and leveraged surrogate keys for instant purges.
Zespół zachował SQLite jako główne źródło danych i stworzył replikę OpenSearch w trybie tylko do odczytu z warstwową trafnością oraz dostrojonymi ustawieniami wyszukiwania rozmytego, co pozwoliło dziesięciokrotnie ograniczyć liczbę pustych wyników przy zachowaniu mediany opóźnień poniżej 28 ms.
The new ‘seo_unlocks’ table records the first moment a category hits three active listings, making the page permanently indexable. This prevents the previous cycle where pages vanished from Google and took weeks to climb back.
Dzięki kierowaniu zapytań najpierw przez pole fuzzy Latin w OpenSearch oraz analizator bigramów CJK, a następnie przełączaniu się na SQLite FTS5 w przypadku przekroczenia czasu oczekiwania, zespół zredukował wskaźnik pustych wyników do 2,1%, nie przekraczając przy tym limitu opóźnienia 20 ms.
Dzięki przeniesieniu generowania miniatur do Cloudflare Workers, platforma hostująca wideo wyeliminowała całe obciążenie związane z przetwarzaniem obrazów na swoich serwerach źródłowych, osiągnęła 96-procentowy współczynnik trafień w pamięci podręcznej brzegowej i zapewnia stałe dostarczanie obrazów w czasie poniżej sekundy na całym świecie.
If you install a “Last Login” plugin and suddenly your WordPress Users screen looks organized, that neatness is lying to you. The dates appear authoritative. You can sort them. Th…
Kiedy ludzie słyszą słowo „audyt”, zazwyczaj wyobrażają sobie księgowych, arkusze kalkulacyjne i sezon podatkowy. W oprogramowaniu audytowanie to zupełnie inna dyscyplina. Mniej chodzi o balan…
Object hydration looks like a solved problem until you measure it. You fetch a row from the database, you map the array to an object, and you move on. Most of us treat it as plumb…
Open source marketing automation does not have to mean giving up your data to a SaaS vendor. Mautic puts email campaigns, contact tracking, and lead nurturing under your own roof.…
A view count is the first number a visitor trusts. It tells them whether a video is worth thirty seconds or thirty minutes of their time. At TopVideoHub, that number moves fast. A…
If you have spent years maintaining business logic inside PHP applications, watching Model Context Protocol tutorials can feel like standing outside a locked door. Nearly every gu…
At DailyWatch, our "related videos" panel started with a humble SQLite query. It joined three tables, counted overlapping tags, and returned a ranked list. For a small catalog, th…
