Tessera

feedly がまた繋がらない、これで年間3万近く払わせてるサービスなのだから本当にすごい

年取ってきたからというのもあるけど、OSS で見知らぬ人に教育的レビューとかやるほど暇じゃないから、方向性が大体いいならパッチ取り込んで気になるところは自分で直すで十分なんだよな。

blog.agile.esm.co.jp/entry/rails-... 同じことが "Gem::BUNDLED_GEMS.force_activate 'tapp'" で実は実現できます。隠しコマンド。

Gemfile に書かれていない gem を Rails Console で使いたい - ESM アジャイル事業部開発者ブログ

こんにちは、wai-doi です。本記事では、Rails Console で Gemfile に書かれていない gem を使いたくなったときの困りごとの共有と、その解決方法をご紹介します。環境 Ruby 4.0.5 RubyGems 4.0.10 Bundler 4.0.14 Rails 8.1.3 困りごと Rails Console で Active Record のコードを書くことがよく...

blog.agile.esm.co.jp

「これこれこういう時に、こうして、こう渡して動くようなソフトウェアってないの」 > claude 「あります。それは op run です」って感じなので、やりたいことを素朴に聞いた方が早い。

最近、ruby/* の中にも claude を使ってることをバカにする連中がちらほら出てきたのだが、手を動かさないで皮肉だけをいう奴よりも、ちゃんと不具合直すし、機能は作ってるし、よっぽど世の中に貢献してるよなあ。

hsbt @hsbt.org · 3d ago

terraform の綺麗な書き方、とか claude によって一切勉強する必要がなくなったのは本当に助かってる。あれ、人間がやるものじゃないとずっと思ってた。

hsbt @hsbt.org · 3d ago

インフラは AI がきてもなんとかなるだろ、と思っていたけど、伝統のなんでもサーバーにログインさせて chef recipe にして、というだけで完成してしまうから、もはやインフラもダメっぽいな。セキュリティで食っていくしかねえ。

hsbt @hsbt.org · 3d ago

僕が面倒見てる ruby のリポジトリの中に脆弱性をつく PoC をいきなり pull request で送りつけたやつ、ふざけんな、とレポートでコメントしたら実証が必要だからとか言い訳してたが無事 GitHub から BAN されたようだ。こういう舐めたやつが増えた気がしてる。

hsbt @hsbt.org · 4d ago

ゼンゼロの新しいトロフィーとるために数時間練習してるが本当につまらない、高難易度コンテンツをトロフィー条件にいれるなよなー...

hsbt @hsbt.org · 5d ago

電池買ったのだが、大容量いいじゃんとType-C接続の充電器セットのを適当に選んだら1.5Vのリチウムイオンタイプで家にある1.2V電池は充電できない、というのを今頃知った。なるほどなぁ。

そういや YAPC はスポンサーすることにしたのでブースで僕と握手

Mike Dalessio @flavorjon.es · 6d ago

7月の営業は終わり

The Rails security team published attack details and -- more importantly -- tools and agent skills to run a forensic investigation to help you determine if you were exploited. Be careful out there. discuss.rubyonrails.org/t/cve-2026-6...

[CVE-2026-66066] Attack details, and tools to perform a forensic investigation

Hello there, I’m writing as a member of the Rails security team about CVE-2026-66066. As mentioned in the advisory, GHSA-xr9x-r78c-5hrm, we held back details about the attack vector to allow applicat...

discuss.rubyonrails.org

Mike Dalessio@flavorjon.es · last wk.

Upgrade Rails immediately, kids, this is a big one. github.com/rails/rails/...

防災庁棚上げにして国旗損壊、副首都、隣国挑発に時間を使う政権なので、避難所にトイレもベッドもエアコンもないのは国民の選択として受け入れるしかないのかねえ。

昨日の雹で驚いたのか酔芙蓉が開花した

朝からベランダの片付け

ベランダガーデンの鉢が倒れまくったので明日は掃除だ...豪雨警報出すならもっと早く出してくれよ...

雹と暴風がやばすぎる、なんだこれ

ドコモの銀行、前のアイコンを用意しよう、という企画の依頼を実行する開発チームに同情するわ

まあ、セキュリティの事象って、AI にはできない、実社会においてソフトウェアがもたらす本質的な問題は何か、を試されるいい題材なので、とんちんかんなことを言ってる人は無視一択でいいんじゃないですかね...

「この s3 bucket を ... という名前のドメインで cdn 配信して」でできるようになったので仕事が捗ります

github.com/rails/rails/... これ見ると Rails の脆弱性なのかなあ、なのかなあ... って気持ちになるな。アップローダを機能として提供している以上はありうる判断ではあるが、僕ならユーザーが設定しろ、とドキュメンテーションで終わらせる気がする。

Disable libvips's unfuzzed image loaders and savers · rails/rails@349e7a5

libvips flags some of its loaders and savers as "unfuzzed" or "untrusted", meaning they are only safe for trusted content. `image_processing` 2.0 disables them when it loads, bu...

github.com

Mike Dalessio @flavorjon.es · last wk.

こう画像アップロードって本質的になんでも通すわけだが、Web アプリケーションでの境界線としては余計なことをしないように AI さんに頑張ってもらえないもんですかね。

Upgrade Rails immediately, kids, this is a big one. github.com/rails/rails/...

Possible arbitrary file read and remote code execution in Active Storage variant processing

### Impact In its default configuration, a Rails application that displays image variants may allow an unauthenticated attacker to read arbitrary files from the server, including the process envi...

github.com

libvips ですかそっすか、お疲れ様です。って感じだった。imagemagick から逃れられても画像処理はどうにもならんものだねえ。

If you use cooldown option of bundler, you need to run `bundle update rails --cooldown 0` for github.com/rails/rails/.... I'm really glad I included the 0-day feature.

Possible arbitrary file read and remote code execution in Active Storage variant processing

### Impact In its default configuration, a Rails application that displays image variants may allow an unauthenticated attacker to read arbitrary files from the server, including the process envi...

github.com