PHP, Laravel et WordPress.
La mise à jour ajoute un contrat Interruptible que les jobs peuvent implémenter ; lors d'un signal SIGTERM, Laravel définit un indicateur, appelle la méthode interrupted() du job, et permet au code de terminer la boucle en cours, d'annuler les modifications ou d'effectuer un point de contrôle avant de s'arrêter.
En déplaçant la création d'objets dans des factories dédiées, les contrôleurs Laravel se débarrassent des appels directs à `new`, centralisant ainsi la construction et rendant la base de code bien plus facile à étendre, à tester et à maintenir à mesure que les projets prennent de l'ampleur.
Ce guide montre comment vérifier l'en-tête X-Telegram-Bot-Api-Secret-Token de Telegram avec un middleware Laravel, stocker chaque update_id dans Redis en utilisant le flag NX, et dispatcher immédiatement un job en file d'attente pour que la réponse HTTP soit renvoyée en quelques secondes.
Cette vulnérabilité enchaîne une désérialisation non sécurisée, une re-désérialisation aveugle et un gadget TCPDF pour exécuter des commandes arbitraires sans authentification. La mise à jour vers la version 4.16.7.2 rompt tous les liens et lance une migration pour nettoyer les charges utiles existantes.
L'absence d'une expression de sécurité sur le point de terminaison de collection `/api/stores/{id}/addresses` a permis à tout utilisateur authentifié de CoopCycle d'énumérer les identifiants de magasins et de collecter les noms complets, les adresses et les codes postaux, compromettant ainsi la vie privée de plusieurs coopératives.
Un audit de 57 modules PrestaShop publics a révélé que l'absence d'espaces de noms pour les clés de configuration et des appels imprudents à Configuration::deleteByName permettent à la routine de désinstallation d'un module de supprimer les paramètres d'extensions sans rapport, laissant les marchands perplexes.
Shopware 6.7.14.0 introduit un nouvel espace de noms d'attributs BC-Change qui sépare les véritables dépréciations des simples ajustements d'API, permettant ainsi aux développeurs de cibler les avertissements CallSiteCompatibilityChange et ExtenderCompatibilityChange avant la sortie de la version 6.8.
Un utilisateur en lecture seule pouvait appeler le point de terminaison non documenté markCancelled via une requête GET, effaçant ainsi les enregistrements de paiement et compromettant les pistes d'audit. Le bug provenait d'une liste d'autorisation qui omettait les méthodes de changement de statut, et a été corrigé dans la version 3.2.0.
Laravel 13 introduit des attributs PHP intégrés pour la configuration des modèles, vous permettant de remplacer les propriétés traditionnelles $table, $fillable et $casts par des annotations typées basées sur la réflexion, sans casser le code existant.
L'option DISABLE_WP_CRON = true empêche seulement WordPress d'effectuer sa propre requête de loopback ; l'URL wp-cron.php reste accessible et peut être sollicitée de manière intensive par des attaquants, ce qui épuise les workers PHP et provoque des dénis de service sur les hébergements mutualisés.
The vulnerability stemmed from Laravel’s route-model binding and a missing tenant-scope check, allowing an Owner to request any user ID and overwrite credentials, effectively moving the victim’s account to the attacker’s company.
Le remplacement de 300 appels de repository par produit par une seule requête de collection a permis de réduire drastiquement le nombre de requêtes, mais le filtre de stock intégré de Magento a supprimé tous les SKU à quantité nulle, laissant les clients face à un catalogue incomplet.
Un SDK partenaire a mis en cache un JWT de 30 jours en texte clair, permettant à un attaquant de le rejouer depuis l'étranger. Cette faille a contraint TrendVidStream à remplacer les JWT à longue durée de vie par des jetons d'accès de 15 minutes et des jetons de rafraîchissement à usage unique, déclenchant une révocation immédiate en cas de réutilisation.
Depuis WP 5.3, la page de vérification de l'e-mail administrateur apparaît tous les quelques mois, forçant les exécutions Playwright non supervisées à attendre un bouton qui n'apparaît jamais. L'ajout d'une vérification rapide de l'URL et d'un clic sur « J'attendrai » permet de retrouver une automatisation déterministe.
En déplaçant les données de routage spécifiques à chaque région dans etcd grâce aux primitives watch, lease et CAS, la plateforme déploie désormais les modifications sur les huit routeurs en environ une seconde. Un minuscule sidecar en Go écrit la configuration dans la mémoire partagée, permettant à PHP de traiter les requêtes avec des lectures à latence nulle.
À partir du 1er janvier 2026, chaque transaction B2B en Croatie devra être validée par un fichier Schematron écrit en XSLT 2.0, mais la bibliothèque libxslt intégrée de PHP ne supporte que le XSLT 1.0. Les développeurs devront soit ajouter une extension native Saxon-C, soit faire appel à un service externe, soit recoder les 62 contrôles en PHP pour assurer la continuité de la facturation.
L'équipe a divisé la page d'accueil en trois fragments — une grille de vidéos, un sélecteur de langue et un en-tête en direct — en utilisant des TTL Varnish de 60 s, 24 h et sans cache, a supprimé les cookies des parties anonymes et a utilisé des clés de substitution pour des purges instantanées.
L'équipe a conservé SQLite comme source de données principale et a mis en place un réplica OpenSearch en lecture seule, doté d'une pertinence stratifiée et de paramètres de recherche floue optimisés, permettant de réduire de dix fois les résultats vides tout en maintenant une latence médiane inférieure à 28 ms.
The new ‘seo_unlocks’ table records the first moment a category hits three active listings, making the page permanently indexable. This prevents the previous cycle where pages vanished from Google and took weeks to climb back.
By routing queries first through OpenSearch’s fuzzy Latin field and CJK bigram analyzer, then falling back to SQLite FTS5 on timeout, the team slashed empty-result rates to 2.1% without breaching the 20 ms latency ceiling.
En déplaçant la génération de miniatures vers Cloudflare Workers, la plateforme d'hébergement vidéo a éliminé toute la charge de traitement d'images sur ses serveurs d'origine, a atteint un taux de réussite de cache en périphérie de 96 % et a fourni de manière constante des réponses d'images en moins d'une seconde dans le monde entier.
Si vous installez une extension « Last Login » et que, soudainement, votre écran des utilisateurs WordPress semble organisé, cette netteté vous ment. Les dates semblent faire autorité. Vous pouvez les trier. Le…
When people hear the word "audit," they usually picture accountants, spreadsheets, and tax season. In software, auditing is a different discipline entirely. It is less about balan…
L'hydratation d'objets semble être un problème résolu jusqu'à ce qu'on la mesure. Vous récupérez une ligne de la base de données, vous mappez le tableau en un objet, et vous passez à la suite. La plupart d'entre nous la considèrent comme de la simple tuyauterie...
