LuaRocks roteert alle geheimen na misbruikte RCE; MiMo brengt toolloop-patch uit

LuaRocks behandelt alle data op zijn oude server als mogelijk blootgesteld na misbruik van een RCE en heeft sleutels, sessies en 2FA-secrets ingetrokken. Xiaomi brengt daarnaast een nieuw MiMo-V2.6-Flash-checkpoint uit dat herhaalde toolcalls moet terugdringen. Aan de toolingkant zijn er een bruikbare GitHub-migratieles en twee kleinere open-source-signalen.

LuaRocks: RCE misbruikt, sleutels en 2FA opnieuw instellen

LuaRocks meldt dat een via CISA gecoördineerd gemelde remote-code-executionkwetsbaarheid op 25 september is gemeld en een dag later is gedicht. Tijdens het onderzoek vond het project eigen sporen van misbruik tussen 9 juli en 20 augustus. De site draait nu op een nieuw gebouwde server; alle credentials die de oude server had zijn vervangen.

De oorzaak zat in de verwerking van rockspecs. Die zijn Lua-bestanden; de server laadde ze in een beperkte omgeving om pakketnaam en -versie te lezen, maar accepteerde daarbij ook vooraf gecompileerde LuaJIT-bytecode. Volgens LuaRocks kan speciaal gemaakte bytecode die beperking doorbreken en willekeurige code in het webserverproces uitvoeren. De oplossing accepteert rockspecs nu alleen als tekst.

Voor gebruikers is de handelingslijn concreet: maak een nieuwe API-key aan, log opnieuw in, verander het wachtwoord — vooral als dat elders hergebruikt is — en stel 2FA opnieuw in. LuaRocks adviseert ook te upgraden naar 3.12 of nieuwer, in het bijzonder bij LuaJIT of Lua 5.1. Machines waarop bcrcewon, 7e0b94029db0 of 7e0b9402f9c8 is geïnstalleerd, moeten volgens het project als gecompromitteerd gelden.

LuaRocks zegt geen bewijs te hebben dat bestaande pakketten zijn aangepast: het project vergeleek opslag en uploads met dagelijkse Git-mirrors. Maar het benoemt zelf de grens: een door een aanvaller verwijderd pakket is niet te onderscheiden van een legitiem verwijderd pakket, en de exacte content die de gecompromitteerde server aan clients stuurde is niet volledig te reconstrueren. Package-maintainers doen er daarom goed aan recente versies zelf via de Security Audit-pagina te beoordelen. Incidentrapport van LuaRocks · Lobsters-discussie

MiMo-V2.6-Flash krijgt een checkpoint tegen tool-call-repetitie

Xiaomi heeft MiMo-V2.6-Flash-MOPD gepubliceerd, een nieuw checkpoint bovenop Flash-RL. Het beoogt een concrete agentfout aan te pakken: dezelfde of bijna dezelfde toolcall blijven uitvoeren zonder voortgang. Xiaomi schrijft dat die fout na de oorspronkelijke v2.6-release zichtbaar werd en zegt hem met een korte, gespecialiseerde teacher-run in de MOPD-trainingsstap te hebben verminderd.

Dat is een inhoudelijke vervolgstap na de einde-dagupdate van woensdag 23 september, die juist praktijkgevallen van ontsporende MiMo-toolloops beschreef. Het nieuwe model maakt de eerdere release of die meldingen niet achteraf ongeldig; het is een apart checkpoint dat specifiek op dat falen is getraind.

De modelkaart noemt dezelfde brede vormfactor: sparse MoE met 309 miljard totale en 15 miljard geactiveerde parameters, één miljoen tokens context en een MTP-drafter. Voor deployment verwijst Xiaomi naar SGLang en noemt het een vLLM-route, maar waarschuwt dat stabiele vLLM kan achterlopen. De vermindering van repetitie komt uitsluitend uit Xiaomi’s eigen metingen; er is in de beschikbare context geen onafhankelijke agentbenchmark die laat zien hoe goed de patch werkt op andere harnesses, tools of repositories. Test dus juist taken met retries, mislukte toolcalls en lange geschiedenis, en log niet alleen pass/fail maar ook dubbele calls en contextverbruik. Modelkaart en deploymentnotities · Reddit-discussie

GitHub schrapt runtime-CSS na gefaseerde migratie

GitHub beschrijft hoe het de Primer-designsystemen en uiteindelijk dotcom van CSS-in-JS naar CSS Modules heeft gebracht. De aanleiding was schaal: steeds meer componenten maakten client-side stijlinitialisatie, server-side stijlcollectie en stijlupdates duurder. CSS Modules leveren volgens GitHub lokale klassennamen zonder client- of serverruntime; de stylesheets gaan met de HTML mee.

De eerste Primer-migratie was eind 2024 klaar en rapporteerde 55% minder SSR-tijd en 25% minder initialisatietijd voor componenten op een pagina. Daarna bleef in de grotere codebase nog gebruik van Primer’s dynamische sx-prop bestaan. GitHub migreerde die in stappen via CSS Modules, feature flags, visuele regressietests en gefaseerde uitrol. Volgens het verslag gingen 6.419 props in zes maanden weg; twee engineers brachten het restant van 895 naar nul in drie weken met onder meer codemods en Copilot coding agents. De gemelde SSR-winst per pagina lag daarbij tussen 1% en 22%.

De overdraagbare les is niet dat elke app CSS-in-JS moet verwijderen, maar dat een infrastructuurmigratie beheersbaar wordt met een compatibiliteitslaag, visuele vergelijkingen en productieflags. GitHub draaide vanaf juni volledig op CSS Modules, maar de cijfers zijn interne metingen en zeggen niet automatisch iets over een kleinere app, andere renderingstack of eigen dynamische stylinggebruik. GitHubs technische verslag · Lobsters-discussie

Verder nog

• postmarketOS heet voortaan Nura: het mobiele-Linuxproject rond toestellevensduur rondde na anderhalf jaar zijn naamselectie af. De naam moet eenvoudiger uitspreekbaar, onthoudbaar en te beschermen zijn; gebruikersgerichte strings worden nog gefaseerd aangepast. Dit is een merk- en projectidentiteitswijziging, geen aangekondigde functionele OS-release. Aankondiging · HN-discussie
• Neovim en persistent undo vragen om gescheiden opslag: een terugblik beschrijft verlies van Vim-undo-historie bij een oude formaatbotsing met Neovim. De HN-discussie nuanceert dat de standaardpaden van beide editors niet botsen; risico ontstaat wanneer ze een undo-directory of inline .un~-bestanden delen. Houd zulke directories dus per editor apart en zie persistent undo niet als backup. Artikel · HN-discussie