Datasette 1.0a40 修复表名换行符绕过权限泄露私有数据漏洞
JeremyCMorgan · x · 2026-09-26
Datasette 发布 1.0a40 版本，修复了一个安全问题：请求表名末尾带换行符时可能绕过表级权限检查，导致私有数据行被泄露（漏洞编号 GHSA-h547-rmjf-5m2m）。官方建议对外提供私有数据的用户尽快升级。
新版本还引入了插件后台任务 API：
- 新增 .addbackgroundtask(func, name=None)，插件可注册受监督的长期后台任务，通常在 startup hook 中注册，启动后运行；关闭时给予 5 秒宽限期后取消任务。
- 新增 /-/tasks JSON 调试端点，列出所有后台任务及其状态（需 permissions-debug 权限）。
- 新增 shutdown(datasette) 插件 hook，在优雅关闭（Ctrl-C/SIGTERM）时、任务取消前被调用。
此外还新增了统计匹配行数的端点和一批 bug 修复。
「编程与Agent」频道最新
- Huszár 团队发 TLA+ 实战教程：形式化验证非银弹，正用 AI 补齐 — fhuszar · 2026-09-26
- Opus 5.5 生成视频,直观演示 Hindley-Milner 类型推断算法 W — ctjlewis · 2026-09-26
- Runway MCP 接入 Claude，聊天里直接调 Gen-4.5 等生成图视频 — runwayml · 2026-09-26
- 给 Ops Agent 一个「只开 PR」权限，竟成了全仓库后门 — Adorable-Algae6903 · 2026-09-26
- 单个 HTML 文件做成 AI 电视，上 Product Hunt 精选 — TradingCardGirl · 2026-09-26
- MCP 钱包 Agent 别急着自主：先设限额与交易预览等无聊规则 — Any-Sir-7622 · 2026-09-26