研究者发现 Yandex 和 Meta 向手机 App 后门发送 Web 端用户追踪信息。

- 安装了 Meta/Yandex 应用的设备会监听特定手机端口，而 Meta/Yandex 的网页端会尝试向此端口发送网页端用户 cookie 等内容，从而实现浏览器及 App 的身份关联。
- Yandex 被发现最早在 2017 年实行此行为，Meta 则是 2024 年。目前两家企业均已终止此追踪行为。
- 除 Brave 浏览器外，包括 Chrome、Edge、Firefox 等主流浏览器均未完全阻止此行为发生。Local Network Access 草案或会在将来完全杜绝此问题。

- arstechnica.com/~
- https://localmess.github.io/

linksrc: blog.gslin.org/~

#Privacy #Meta #Yandex

Apple 发布文稿及视频帮助大学新生说服家长为其购买 Mac；视频已经转为私有。

- Apple 发布 "The Parent Presentation"，包含约 80 页的演示文稿（各种格式）及一段七分半的视频。
- 视频向大学新生讲述如何使用 Apple 提供的资料说服家长为其购买 Mac；YouTube 上的视频目前已被 Apple 转为私有，但亦有人补档 [1]。
- 文稿中提到的 Mac 的优点包括提升用户身价、易于找回、保护颈椎、软件兼容性强、寿命持久、价值较高等。

apple.com/~

1. https://youtube.com/watch?v=JHFUmPbODbI

#Apple #Mac

Let's Encrypt 将推出短期 IP 证书，目前暂不向公众开放。

- 证书的有效期为 6 天。

community.letsencrypt.org/~

#LetsEncrypt #PKI

#PSA: sudo 本地权限提升漏洞。

请升级至 1.9.17p1 版本；1.9.14 （不含）之前版本不受影响。

Affected: [1.9.14, 1.9.17]
Fixed-On: 1.9.17p1
CVE: CVE-2025-32463
CVSS: 9.3 (NIST) / 7.8 (SUSE)

- https://www.sudo.ws/security/advisories/chroot_bug/
- https://nvd.nist.gov/vuln/detail/CVE-2025-32463

#CVE #sudo

[旧闻] Firefox 离线翻译插件已经支持翻译到中文。

connect.mozilla.org/~

thread: /4648

#Firefox #Translation

特定 Windows 11 Insider 版本中存在 bug，导致部分编程语言计算 -1 的平方为 -1。

- 一位 osu! 贡献者向 dotnet 报告称，在 Windows 11 Build 27881.1000 版本中， 有用户报告 C# 的 Math.Pow(-1, 2) 结果为 -1（应为 1），而自己测试发现 C++ std::pow(-1, 2) 也为 -1。
- dotnet 维护者称这是上游 uCRT 库的 bug，在一周前被报告并修复；修复将在未来的 Insider 版本中发布。

gh:dotnet/runtime#117233

#MathPow #Windows

NuxtLabs 加入 Vercel。

- Vercel 维护著名 React 框架 Next.js。
- NuxtLabs 是著名 Vue.js 框架 Nuxt 的维护者。

https://nuxtlabs.com/

#Nuxt #Vuejs #Vercel

Bitwarden 发布用于操作 Bitwarden 密码库的 MCP 服务器。

- MCP (Model Context Protocol) 协议可以使 GenAI 应用连接到外部系统，例如与 Bitwarden 密码库互动。
- 此 MCP 服务器的功能包括锁定和解锁密码库以及对密码库进行增删改查等。

https://github.com/bitwarden/mcp-server

EDIT 8/8: 更新关于 MCP 的解释。

#GenAI #Bitwarden

[已修复] 1.1.1.1 在今早六时至七时 (UTC+8) 间发生中断。

cloudflarestatus.com/~

#1111

Chrome 139 即将到来：ManifestV2 支持将被完全移除。

需要 ManifestV2 插件的订户可以选择 Firefox 或 Brave 等替代浏览器*。

developer.chrome.com/~

thread: /3955

* 不代表本台对这些浏览器的推荐或背书。

#Chromium #ManifestV3

Valve 迫于支付提供商压力下架部分游戏。

pcgamer.com/~

#Steam #Visa #MasterCard

凌晨 2 时 (UTC+8) 起 Let's Encrypt 服务故障。影响 ACME/OCSP 服务。

letsencrypt.status.io/~

#Outage #LetsEncrypt

itch.io 迫于支付提供商压力从搜索结果及内容目录中移除 NSFW 内容的展示。

文章中提及了 Collective Shout 等组织对在 itch.io 等平台上线的游戏《No Mercy》表达担忧而向支付提供商发布的公开信 [1]。

https://itch.io/updates/update-on-nsfw-content

1. www.collectiveshout.org/~

seealso: HackerNews:44667667

#Itch #Visa #MasterCard

今日 (2025/7/26) 是《偶像大师》20 周年。

https://idolmaster-official.jp/20th_anniversary

#IDOLMASTER

北京谋智宣布将在 9/29 后结束 Firefox 相关中国大陆运营。

受影响的服务包括火狐通行证、火狐社区及火狐首页等。

https://www.firefox.com.cn/farewell/

#Firefox

Kubesphere 宣布停止开源版下载，只提供商业版支持。有用户称其也删除了部分组件导致开源版无法正常使用。

- Kubesphere 是青云 (QingCloud) 开发的 Kubernetes 平台。
- 前日 (7/31) 一个自称青云运营的 GitHub 账户在 Kubesphere repo 发布 issue 宣布暂停开源版产品下载，并呼吁开源版用户联系青云转换为商业版方案。
- 有用户对突然的转变表示不满；也有用户提到其删除了一些 Docker 镜像，导致正在使用的开源版 Kubesphere 发生异常。
- 同日早些时间，有合并 PR 将 Kubesphere 文档跳转到 404 页面 [1]。

gh:kubesphere/kubesphere#6550

1. gh:kubesphere/website#3281

linksrc: https://www.tgoop.com/billchenla/20905

#Kubesphere #QingCloud #Opensource

Cloudflare 发现 Perplexity 的秘密爬虫会伪装 User-Agent 爬取其它网站，并且不遵守 robots.txt。

- Cloudflare 注册了一个新域名，配置了禁止任何爬虫的 robots.txt，在 Cloudflare 上禁止 GenAI 爬虫访问。
- 在询问 Perplexity 关于一个此域名下子域名的详细信息的时候，Perplexity 依然可以做出一些回答。
- Cloudflare 发现 Perplexity 以 macOS 上 Chrome 的 User-Agent 伪装自己，通过未宣告在文档所述自有 IP 段中的，来自多个 ASN 的 IP 访问了此域名。
- Cloudflare 通过机器学习等技术尝试识别并拦截此类爬取行为。测试发现当爬取被拦截时，Perplexity 转用了其它数据源，说明拦截确有起效。
- 文章还提到，OpenAI 旗下的 ChatGPT 会访问并遵守 robots.txt，尊重了网站主对爬虫的要求。
- Cloudflare Bot Management 用户现已可使用相关规则拦截 Perplexity 的秘密爬虫。

blog.cloudflare.com/~

[感谢 Pop 提供此消息。]

#GenAI #Cloudflare #Perplexity

在 Fediverse 分身运行约三年半后，我台在 Bluesky 上的分身将开始测试运行。

Bluesky 平台的用户将可以在平台上了解本台更新。

我们的帐号是： @thecascading.bsky.social。
您可以通过此链接访问。
欢迎反馈遇到的问题及对频道的建议。

#today #Bluesky

Debian 13 trixie 发布。

一些新变化：
- 正式支持 64 位小端序 RISC-V (riscv64) 架构。
- i386 外的所有架构现使用 64 位 time_t ABI。
- 一些软件包更新，包括 Emacs 30、GCC 14、LLVM 19、OpenJDK 21 及 KDE 6 等。

https://debian.org/News/2025/20250809

#Debian

#PSA: stardict-gtk 默认会将用户选中的文本以非 HTTPS 形式发送至有道/海词。

- stardict（星际译王）是一款历史悠久的跨平台词典软件。
- 词典软件的一个常见功能是「划词翻译」，即对用户选中的文本自动进行翻译。
- stardict-gtk 默认启用了此功能，因此会发送用户选中文本到有道/海词词典，但通过未加密的 HTTP 协议。
- 在 Wayland 下，stardict 默认无法获取其它应用的选中文本，因此此功能无法使用，也没有上述安全问题。
- 这个问题早在 2015 年就被报告 [1] ，但一直尚未被修复。

CVE: CVE-2025-55014
CVSS: 4.7 (MITRE)

lwn.net/~

1. https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=806960

#stardict