PHP, Laravel та WordPress.
Відсутність перевірки прав доступу на ендпоінті колекції `/api/stores/{id}/addresses` дозволила будь-якому автентифікованому користувачу CoopCycle перебирати ID магазинів і збирати повні імена, адреси та поштові індекси, що поставило під загрозу конфіденційність багатьох кооперативів.
An audit of 57 public PrestaShop modules revealed that un-namespaced configuration keys and careless calls to Configuration::deleteByName let a module’s uninstall routine delete settings belonging to unrelated extensions, leaving merchants baffled.
Shopware 6.7.14.0 додає новий простір імен атрибутів BC-Change, який відокремлює справжні застарілі функції від нешкідливих змін API, що дозволяє розробникам зосередитися на попередженнях CallSiteCompatibilityChange та ExtenderCompatibilityChange перед релізом версії 6.8.
Користувач із правами лише для читання міг викликати недокументовану кінцеву точку markCancelled через GET-запит, видаляючи записи про платежі та порушуючи аудиторський слід. Помилка виникла через білий список, у якому не було враховано методи зміни статусу, і була виправлена у версії 3.2.0.
Laravel 13 впроваджує вбудовані атрибути PHP для конфігурації моделей, дозволяючи замінити традиційні властивості $table, $fillable та $casts на типізовані анотації на основі рефлексії без порушення роботи існуючого коду.
Параметр DISABLE_WP_CRON = true лише забороняє WordPress виконувати власний loopback-запит; URL-адреса wp-cron.php залишається доступною, що дозволяє зловмисникам здійснювати масовані запити, вичерпуючи PHP-воркери та спричиняючи відмову в обслуговуванні (DoS) на спільних хостингах.
The vulnerability stemmed from Laravel’s route-model binding and a missing tenant-scope check, allowing an Owner to request any user ID and overwrite credentials, effectively moving the victim’s account to the attacker’s company.
Заміна 300 окремих викликів репозиторію на один запит до колекції дозволила кардинально зменшити кількість запитів, проте вбудований фільтр наявності Magento видалив усі SKU з нульовою кількістю, залишивши покупців із неповним каталогом.
A partner SDK cached a 30-day JWT in plain text, letting an attacker replay it from abroad. The breach forced TrendVidStream to replace long-lived JWTs with 15-minute access tokens and single-use refresh tokens that trigger immediate revocation on reuse.
Since WP 5.3 the admin-email verification page appears every few months, forcing unattended Playwright runs to wait for a button that never shows up. Adding a quick URL check and clicking “I’ll wait” restores deterministic automation.
By moving region-specific routing data into etcd with watch, lease and CAS primitives, the platform now pushes changes to all eight routers in about a second. A tiny Go sidecar writes the config to shared memory, letting PHP serve requests with zero-latency reads.
From 1 January 2026 every B2B transaction in Croatia must pass a Schematron file written in XSLT 2.0, but PHP’s built-in libxslt only supports XSLT 1.0. Developers must either add a native Saxon-C extension, call an external service, or re-code the 62 checks in PHP to keep invoicing alive.
Команда розділила головну сторінку на три фрагменти — сітку відео, перемикач мов та динамічний хедер — використовуючи значення Varnish TTL (60 с, 24 год та без кешування), видалила cookies з анонімних частин та застосувала сурогатні ключі для миттєвого очищення кешу.
Команда залишила SQLite як основне сховище та створила репліку OpenSearch лише для читання з багаторівневою релевантністю та налаштованим нечітким пошуком, що дозволило у десять разів зменшити кількість порожніх результатів, зберігаючи медіанну затримку нижче 28 мс.
The new ‘seo_unlocks’ table records the first moment a category hits three active listings, making the page permanently indexable. This prevents the previous cycle where pages vanished from Google and took weeks to climb back.
Завдяки маршрутизації запитів спочатку через нечітке латинське поле OpenSearch та біграмний аналізатор CJK, а потім перемиканню на SQLite FTS5 у разі таймауту, команда знизила рівень порожніх результатів до 2,1%, не перевищуючи ліміт затримки у 20 мс.
Перенісши генерацію мініатюр на Cloudflare Workers, платформа для хостингу відео повністю усунула навантаження на обробку зображень на своїх основних серверах, досягла 96% показника влучання в кеш на периферії та забезпечила стабільну швидкість відповіді із зображеннями менше ніж за секунду по всьому світу.
If you install a “Last Login” plugin and suddenly your WordPress Users screen looks organized, that neatness is lying to you. The dates appear authoritative. You can sort them. Th…
Коли люди чують слово «аудит», вони зазвичай уявляють бухгалтерів, електронні таблиці та податковий сезон. У програмному забезпеченні аудит — це зовсім інша дисципліна. Це менше про балан…
Object hydration looks like a solved problem until you measure it. You fetch a row from the database, you map the array to an object, and you move on. Most of us treat it as plumb…
Open source marketing automation does not have to mean giving up your data to a SaaS vendor. Mautic puts email campaigns, contact tracking, and lead nurturing under your own roof.…
A view count is the first number a visitor trusts. It tells them whether a video is worth thirty seconds or thirty minutes of their time. At TopVideoHub, that number moves fast. A…
If you have spent years maintaining business logic inside PHP applications, watching Model Context Protocol tutorials can feel like standing outside a locked door. Nearly every gu…
At DailyWatch, our "related videos" panel started with a humble SQLite query. It joined three tables, counted overlapping tags, and returned a ranked list. For a small catalog, th…
