Vydáno v upstreamu • říjen 2026
oauth2 je OAuth 2.0 klient pro Ruby, na kterém stojí omniauth-oauth2, s více než 280 miliony stažení. Přesměrování na jiný původ poslalo tělo požadavku na token, s autorizačním kódem a případně i tajemstvím klienta, znovu na nový host a odpověď bez tokenu skončila celá v chybové hlášce. Správce Peter Boling obě naše opravy začlenil, zpevnil a týž den vydal.
- 24.–25. 10. 2026. Otevřeli jsme pull requesty #775 a #776 s opravami a regresními testy.
- 25. 10. Oba začleněny, doplněny v #777 a vydány ve v2.0.26 a v2.1.0; changelog je připisuje nám.
Jak to číst. Únik přes přesměrování vyžaduje kompromitovaný nebo špatně nastavený token endpoint či proxy a únik do chyby odpověď bez tokenu, jde tedy o zpevnění, ne o vzdáleně zneužitelné díry. Nálezy jsou podněty pro lidi, ne rozsudky.
Opraveno v upstreamu • říjen 2026
Orca je desktopová aplikace pro práci s flotilou kódovacích agentů. SSH klíče z cest IdentityFile četla bez kontroly typu a velikosti souboru, takže cesta na pojmenovanou rouru aplikaci zmrazila a obří soubor se načetl celý. Správce Neil na našem pull requestu postavil širší opravu, ponechal naše testy a uvedl nás jako spoluautora.
- 22. 10. 2026. Založili jsme issue #31965 a pull request #31966 s opravou a testy.
- 23. 10. Správce začlenil #32274, který na našem staví, s námi jako spoluautorem; zatím není v žádném vydání.
Jak to číst. Cesty ke klíčům pocházejí z uživatelovy vlastní SSH konfigurace, jde tedy o opravu robustnosti, ne o zranitelnost. Nálezy jsou podněty pro lidi, ne rozsudky.
Vydáno v upstreamu • říjen 2026
mise spravuje verze vývojářských nástrojů a řadu z nich instaluje podle položek aqua registry. Jeho lexer šablon se na řetězci bez uzavírací uvozovky donekonečna zacyklil, takže vadná šablona v registry mise zasekla místo toho, aby skončil chybou. Správce Jeff Dickey k naší opravě přidal testy a týž den ji začlenil; vyšla ve v2026.10.17.
- 20. 10. 2026. Otevřeli jsme pull request #14752 s opravou a regresním testem; Jeff Dickey ho týž den začlenil.
- 21. 10. Vydáno v mise v2026.10.17.
Jak to číst. Triáž počítala se škodlivou registry; ve skutečnosti šablony pocházejí z dodávané nebo uživatelem zvolené registry, jde tedy o zaseknutí na vadné položce. Nálezy jsou podněty pro lidi, ne rozsudky.
Vydáno v upstreamu • říjen 2026
KDE Connect propojuje telefony s počítači kvůli sdílení notifikací, souborů a schránky. Jeho Bluetooth backend pro Android ukládal příchozí pakety bez limitu velikosti, takže spárované zařízení, které nikdy neposlalo konec řádku, mohlo aplikaci vyčerpat paměť. Podpora Bluetooth je volitelná beta. Autor a správce Albert Vaca Cintora začlenil naši opravu, která přebírá limit 32 MB, jaký už měl backend pro LAN.
- 4. 10. 2026. Sken KDE Connect pro Android upozornil na neomezený buffer v
BluetoothLink.kt; triáž nález potvrdila.
- 8. 10. Otevřeli jsme merge request !696 s opravou a unit testem. Albert Vaca Cintora ho týž den začlenil; vyšlo ve v1.36.0.
Jak to číst. Triáž skeneru označila útočníka za vzdáleného; čtení kódu to zúžilo na volitelný backend a už spárované zařízení. Nálezy jsou podněty pro lidi, ne rozsudky.
Začleněno do upstreamu • říjen 2026
ProFTPD je rozšířený FTP a SFTP server. Jeho modul mod_sftp_pam přiřazoval odpovědi keyboard-interactive k výzvám PAM podle špatného indexu. Když modul PAM poslal před výzvou informační zprávu, jako to dělá pam-krb5 při změně hesla, přihlášení selhalo nebo proces relace četl za koncem pole odpovědí. Správce TJ Saunders naši opravu začlenil.
- 30. 9. 2026. Sken stromu ProFTPD upozornil na
sftppam_converse(); tři kola triáže nález potvrdila.
- 2. 10. Potvrdili jsme ho harnessem s AddressSanitizerem a otevřeli pull request #2355.
- 7. 10. TJ Saunders ho začlenil do masteru; zatím není v žádném vydání.
Jak to číst. Triáž skeneru přecenila dosah; čtení přijímacího kódu ho zúžilo na konfigurace PAM, které míchají zprávy a výzvy. Nálezy jsou podněty pro lidi, ne rozsudky.
Vydáno v upstreamu • říjen 2026
Windmill je open-source platforma pro skripty, workflow a interní nástroje. Když krok s AI odkazoval na objekt v S3, Windmill ho stáhl celý a zakódoval do base64 bez limitu velikosti, takže jediný velký objekt mohl vyčerpat paměť workeru. Naše kontrola velikosti přicházela pozdě; správce Ruben Fiszel ji nahradil omezeným stahováním.
- 2. 10. 2026. Sken AI backendu Windmillu upozornil na neomezené stahování v
image_handler.rs.
- 4. 10. Otevřeli jsme pull request #11515 s kontrolou velikosti před kódováním.
- 5. 10. Ruben Fiszel začlenil omezené stahování v #11534, vydané ve v1.824.0.
Jak to číst. Náš patch byl jen částečná ochrana; oprava správce je lepší. Nálezy jsou podněty pro lidi, ne rozsudky.
Začleněno • Zodolnění sdílené knihovny • říjen 2026
Himalaya je populární CLI e-mailový klient v Rustu. BudgetScan odhalil, že metadata zpráv (předměty, odesílatelé, názvy příloh) byla vypisována do terminálových tabulek bez ošetření řídicích znaků. Útočník mohl v e-mailu podstrčit sekvence OSC 52 pro tiché přepsání systémové schránky, manipulovat s terminálem nebo použít Unicode BiDi override k maskování spustitelných příloh. Správce Clément Douin vyčlenil naši sanitizaci do sdílené knihovny pimalaya-cli a uvedl Martina Vlacha jako spoluautora, takže ji mohou převzít i sesterské CLI nástroje.
- 2. 10. 2026. BudgetScan upozornil na neošetřená metadata ve výstupu tabulek Himalaya. Otevřeli jsme pull request #771 na GitHubu s prvním návrhem opravy a testy.
- 2. 10. Správce Clément Douin (
soywod) rozpoznal, že příbuzné CLI projekty (cardamum, calendula) sdílejí stejné tabulky. Vyčlenil sanitizaci do pimalaya-cli 0.2.6 s ošetřením BiDi znaků a uvedl Martina Vlacha jako spoluautora.
- 3. 10. Dokončili jsme pokrytí napříč backendy IMAP, JMAP, Gmail, Graph i pimdir a doplnili jednotkové testy. Správce Douin změny zkontroloval a pull request #771 začlenil do masteru.
- 11. a 14. 10. Nezávisle na nás byly začleněny dva patche přispěvatele SORALNV: PR #782 (stahování příloh) a PR #783 (sanitizace zobrazení zpráv).
Jak to číst. Automatizované skenování zachytilo mezeru v sanitizaci vstupů a spolupráce se správcem proměnila opravu jedné chyby ve sdílenou funkci, kterou mohou převzít i další CLI nástroje Pimalaya. Nálezy jsou podněty pro lidi, ne rozsudky.
Opraveno v upstreamu OpenBSD i tmuxu • říjen 2026
tmux je standardní terminálový multiplexer. Při spuštění obsluhy copy-mode -S bez připojeného klienta (například z hooku nebo fronty serveru na pozadí) tmux dereferencoval NULL ukazatel na klienta, což shodilo server tmux na SIGSEGV a ukončilo všechny jeho relace. Autor a hlavní správce Nicholas Marriott naši zprávu přijal a začlenil opravu do CVS OpenBSD.
- 1. 10. 2026. BudgetScan upozornil na nechráněný ukazatel na klienta v
cmd-copy-mode.c. Ověřili jsme cestu pádu přes hooky a otevřeli pull request #5670 na GitHubu s opravou a automatickým regresním testem.
- 2. 10. Hlavní správce tmuxu Nicholas Marriott (
nicm) pull request posoudil, odpověděl „Applied to OpenBSD now, will be in GitHub later. Thanks!“ a začlenil revizi 1.55 do CVS OpenBSD se zmínkou Martina Vlacha. Týž den se změna přenesla do tmuxu na GitHubu jako commit 5932140.
Jak to číst. Skener upozornil na nechráněný ukazatel jako na konkrétní podnět, člověk ověřil řídicí tok, izoloval spuštění přes hooky, napsal test a odeslal opravu. Správce Nicholas Marriott ji ověřil a začlenil do OpenBSD. Nálezy jsou podněty pro lidi, ne rozsudky.
Opraveno v upstreamu • říjen 2026
dnsmasq je DNS a DHCP server vestavěný do mnoha routerů a linuxových systémů. DHCP lease, který přišel o hostname, si ponechal záznamy SLAAC, takže pozdější odpověď ICMPv6 předala do logování NULL hostname. Poslali jsme patch pro řádek logu; autor Simon Kelley místo toho opravil samotné zastaralé záznamy a v commitu uvedl Martina Vlacha. Přijal i druhý patch ze stejného skenu.
- 30. 9. 2026. Sken upozornil na NULL hostname v
slaac_ping_reply(); poslali jsme patch do dnsmasq-discuss.
- 1. 10. Simon Kelley commitnul širší opravu, která maže zastaralá data SLAAC, a také náš druhý patch ze stejného skenu, opravu chyby při selhání alokace v
poll_listen().
- 11. 10. Na oba patche odpověděl v konferenci; ani jeden commit zatím není v žádném vydání.
Jak to číst. Skener našel symptom, správce příčinu. Nálezy jsou podněty pro lidi, ne rozsudky.
První zásah v open source • září 2026
Yopass je open-source nástroj (přes 3 000 hvězdiček na GitHubu) pro bezpečné sdílení tajemství, hesel a souborů. Když je nastavený tak, že pustí jen přihlášení z vybraných e-mailových domén, jeho OIDC přihlášení věřilo e-mailové adrese od poskytovatele identity, aniž ověřilo claim email_verified. Kdo měl u poskytovatele identity s povolenou doménou neověřený účet, mohl tak omezení domén obejít.
- 23. 9. 2026. BudgetScan upozornil na chybějící kontrolu. Otevřeli jsme pull request s opravou a testy.
- 24. 9. Automatická revize chtěla silnější testy, které jsme doplnili. Správce upozornil, že
email_verified je nepovinný claim, takže jeho slepé vynucení by mohlo rozbít stávající nasazení.
- 25. 9. Správce Johan Haals na naší záplatě postavil nový pull request: náš commit ponechal jako první, s naším autorstvím, a přidal výslovnou výjimku pro poskytovatele, kteří claim neposílají, upozornění při startu, validaci konfigurace, testy a dokumentaci.
- 26. 9. Začleněno do Yopass. Ve výchozím nastavení teď OIDC přihlášení vyžaduje ověřený e-mail.
Jak to číst. Díky Johanu Haalsovi za rychlé a pečlivé zpracování. Skener problém našel a člověk, správce projektu, rozhodl, jak ho bezpečně opravit. Přesně takhle to chceme mít: nálezy jsou podněty pro lidi, ne rozsudky. Je to jeden příklad, ne benchmark. Naměřené výsledky zveřejníme, až je budeme mít.