⚠️ آیا «Vibe Coding» آینده برنامه‌نویسی است یا یک ریسک بزرگ؟

این روزها مفهومی به نام Vibe Coding به‌سرعت در دنیای توسعه نرم‌افزار در حال گسترش است؛ روشی که در آن توسعه‌دهنده به جای نوشتن مستقیم کد، صرفاً با دادن دستورهای متنی به هوش مصنوعی، برنامه تولید می‌کند.

اما گزارش جدید Ars Technica یک سوال جدی مطرح کرده:

آیا اتکای بیش از حد به AI بدون درک واقعی کد، در حال تبدیل شدن به یک تهدید برای کیفیت نرم‌افزارهاست؟

نگرانی اصلی اینجاست:
کدی که توسط AI تولید می‌شود ممکن است در ظاهر درست کار کند، اما در لایه‌های عمیق‌تر مشکلاتی مثل:

• آسیب‌پذیری‌های امنیتی
• بدهی فنی (Technical Debt)
• کاهش توانایی توسعه‌دهنده در Debug و نگهداری سیستم
• وابستگی بیش از حد به ابزارهای هوشمند

هوش مصنوعی سرعت توسعه را بالا می‌برد؛
اما هنوز یک اصل تغییر نکرده:

جمله‌ای که همیشه میگیم:

برنامه‌نویسی فقط تولید کد نیست، بلکه فهمیدن منطق پشت آن است.

شاید آینده توسعه نرم‌افزار با AI گره خورده باشد،اما مهندسی واقعی همچنان نیازمند درک، تحلیل و تصمیم‌گیری انسانی است.

#AI
#SoftwareEngineering #VibeCoding #DeveloperMindset

@CodeStorePro

پیش‌بینی جرایم با هوش مصنوعی؛ گامی دیگر به سوی تحقق «Person of Interest» در دنیای واقعی

محققان از توسعه مدلی جدید از هوش مصنوعی خبر داده‌اند که قادر است وقوع جرایم را با دقتی چشمگیرتر از بسیاری از روش‌های موجود پیش‌بینی کند. این دستاورد، که شباهت‌های قابل‌توجهی با فناوری نمایش داده‌شده در سریال معروف «Person of Interest» دارد، نویدبخش تحولی اساسی در حوزه مدیریت امنیت شهری است.

▫️ معماری فنی مدل

این سیستم با ترکیب چندین تکنیک پیشرفته یادگیری ماشین طراحی شده است. معماری مدل شامل شبکه عصبی کانولوشن گرافی برای شناسایی روابط میان مکان‌های مختلف، معماری ترنسفورمر برای تشخیص الگوهای زمانی در فعالیت‌های مجرمانه، و شبکه مولد رقابتی همراه با رمزگذار خودکار تغییرپذیر برای بهبود عملکرد و کاهش خطاهای آموزشی است.

▫️ نتایج آزمایش‌ها

آزمایش‌های انجام‌شده بر روی داده‌های تاریخی چندین شهر آمریکا از جمله لس‌آنجلس و سیاتل نشان می‌دهد که این مدل در پیش‌بینی سرقت به دقت ۸۶.۳ درصد دست یافته است. این رقم در مقایسه با بهترین الگوریتم‌های رقیب که دقتی معادل ۸۳.۲ درصد دارند، پیشرفتی قابل‌توجه محسوب می‌شود.

▫️ کاربردهای عملی

به گفته محققان، چنین فناوری‌هایی می‌توانند در آینده به نیروهای انتظامی کمک کنند تا منابع و نیروهای خود را هدفمندتر مدیریت کرده و مناطق دارای ریسک بالاتر را سریع‌تر شناسایی کنند.

▫️ محدودیت‌ها و چالش‌ها

این سیستم همچنان با محدودیت‌هایی مواجه است. به گزارش پژوهشگران، عملکرد مدل در مناطقی که داده‌های تاریخی کافی در دسترس نیست یا سابقه ثبت جرم چندانی ندارند، با کاهش دقت روبرو می‌شود.

▫️ چشم‌انداز آینده

تیم تحقیقاتی قصد دارد در مراحل بعدی از تکنیک «انتقال یادگیری» استفاده کند تا مدل بتواند دانش به‌دست‌آمده از یک منطقه را برای پیش‌بینی در سایر مناطق نیز به کار گیرد. این رویکرد می‌تواند دقت پیش‌بینی را در مناطقی با داده‌های محدود به طور قابل‌توجهی افزایش دهد.

▫️ وضعیت فعلی

این فناوری در حال حاضر در مرحله پژوهشی قرار دارد و مقاله مرتبط با آن در نشریه معتبر «International Journal of Innovative Computing and Applications» منتشر شده است. با این حال، کاربرد عملی آن در مدیریت امنیت شهری نیازمند توسعه و آزمایش‌های بیشتری است.

مارا در تلگرام دنبال کنید
🆔@CodeStorePro

عنوان: «زباله‌کاری» در کمین سازمان‌ها؛ چگونه هوش مصنوعی به زوال دانش سازمانی دامن می‌زند؟

پژوهشی مشترک از آزمایشگاه رسانه‌های اجتماعی دانشگاه استنفورد و BetterUp Labs که نتایج آن در مجله کسب‌وکار هاروارد منتشر شده، هشداری جدی دربارهٔ پیامدهای استفادهٔ بی‌رویه از هوش مصنوعی مولد در محیط‌های کاری مطرح کرده است. این پژوهش، پدیده‌ای نوظهور به نام «زباله‌کاری» (Workslop) را شناسایی کرده که به تدریج بهره‌وری، اعتماد و دانش جمعی سازمان‌ها را تخریب می‌کند.

▫️ «زباله‌کاری» چیست؟

«زباله‌کاری» به خروجی‌هایی از هوش مصنوعی اطلاق می‌شود که ظاهری آراسته و حرفه‌ای دارند؛ اسلایدهایی زیبا، گزارش‌هایی مفصل یا خلاصه‌هایی که به نظر می‌رسد کار را به پایان رسانده‌اند. اما در باطن، فاقد دقت، عمق و زمینه‌های لازم برای پیشبرد مؤثر یک پروژه هستند. در حقیقت، این خروجی‌ها بار سنگین تفکر و بازبینی را از دوش تولیدکننده برداشته و بر دوش گیرندهٔ آن می‌گذارند.

▫️ ابعاد هشداردهندهٔ آماری

یافته‌های این پژوهش که بر روی ۱,۱۵۰ کارمند تمام‌وقت آمریکایی انجام شده، ابعاد این بحران را آشکار می‌سازد:

۴۰ درصد از کارمندان در ماه گذشته با این پدیده مواجه شده‌اند.

به طور میانگین، ۱۵.۴ درصد از کل محتوای دریافتی در محیط کار را «زباله‌کاری» تشکیل می‌دهد.

هر نمونه «زباله‌کاری» به طور میانگین ۲ ساعت زمان برای اصلاح نیاز دارد.

این امر هزینه‌ای معادل ۱۸۶ دلار به ازای هر کارمند در ماه ایجاد کرده و برای یک شرکت ۱۰,۰۰۰ نفری، زیانی سالانه بالغ بر ۹ میلیون دلار به همراه دارد.

▫️ از زوال دانش تا سایش اعتماد

این پدیده فراتر از یک مسئلهٔ صرفاً اقتصادی است و پیامدهای عمیق‌تری بر ساختار دانش و سرمایهٔ انسانی سازمان دارد:

زوال دانش سازمانی: واگذاری بی‌رویهٔ وظایف تفکری به هوش مصنوعی، مهارت‌های فردی و دانش جمعی کارکنان را به تدریج تضعیف می‌کند.

فرسایش اعتماد: دریافت «زباله‌کاری» باعث بروز احساسات منفی مانند خشم (۵۳%) ، سردرگمی (۳۸%) و احساس توهین (۲۲%) در افراد می‌شود. نزدیک به نیمی از کارمندان، همکاری که چنین خروجی‌هایی تولید می‌کند را غیرقابل اعتماد دانسته و ۴۲ درصد او را کم‌اعتمادتر و ۳۷ درصد او را کم‌هوش‌تر ارزیابی می‌کنند.

▫️ راهکارهای مهار بحران

پژوهشگران برای جلوگیری از فراگیر شدن این پدیده، راهکارهایی را به رهبران سازمانی پیشنهاد می‌کنند:

تعیین چارچوب‌های مشخص: به جای توصیهٔ کلی «استفاده از هوش مصنوعی»، باید برای هر نوع کار، کاربردهای مجاز و استانداردهای کیفی مشخصی تعریف کرد.

ترویج تفکر «خلبان»: کارکنان باید تشویق شوند تا از هوش مصنوعی به عنوان همیاری برای افزایش توانایی‌های خود استفاده کنند، نه به عنوان ابزاری برای دور زدن فرآیندهای تفکری.

الگوسازی توسط مدیران: رهبران سازمان باید خود، الگوی استفادهٔ هدفمند از هوش مصنوعی باشند و استانداردهای کیفی را به وضوح تبیین کنند.

🔗 منبع:
Harvard Business Review / BetterUp Labs / Stanford Social Media Lab

ما را در تلگرام دنبال کنید .
🆔@CodeStorePro

جدیدا داریم یک کار خفن انجام میدیم و مشتاق فیدبک ها و انرژی های شماییم!

می‌خوام امروز کانال خودمون یعنی کدمنتا رو بهتون معرفی کنم.

اگر تازه داری با برنامه نویسی آشنا میشی و هنوز خیلی از مباحث برنامه نویسی برات گنگ و مبهمه، ما اینجا قراره درباره مباحث به روز برنامه‌نویسی حرف بزنیم، چیزایی که واقعاً توی بازار کار امروز به کار میاد و خیلی‌ها هنوز درگیرش نشدن یا ازش جا موندن.

هدفمون اینه که توی کدمنتا، همیشه یه قدم جلوتر از خیلی‌ها باشی و بدون هیچ حاشیه‌ای، با جدیدترین روندها و متدهای برنامه‌نویسی آشنا بشی.

پس اگه دوست داری همیشه به‌روز باشی و از آخرین تحولات دنیای کدزنی جا نمونی، یا اگر تازه داری برنامه نویسی یادمیگیری و تازه با دنیای برنامه نویسی اشنا شدی ، کدمنتا دقیقاً همون جاییه که باید عضو بشی.

اگر تمایل داشتی عضو شو و به جمع ما بیا:
🆔 @CodeMenta

به امید دیدن شما در کدمنتا! 💻✨

۱۰ میلیون بیننده آنلاین؛ رکورد تماشای مسابقات ایران در جام جهانی ۲۰۲۶ شکسته شد

▫️ آمار تماشاگران آنلاین

بر اساس اعلام رسمی مدیرعامل شرکت ارتباطات زیرساخت، بیش از ۱۰ میلیون نفر بازی حساس ایران و مصر در مرحله گروهی جام جهانی ۲۰۲۶ را از طریق پلتفرم‌های آنلاین تماشا کرده‌اند.

▫️ جزئیات مسابقه

دیدار تیم‌های ملی فوتبال ایران و مصر، ساعت ۶:۳۰ صبح روز شنبه ۶ تیرماه برگزار شد و در نهایت با نتیجه تساوی یک بر یک به پایان رسید.

▫️ رکوردشکنی ترافیک اینترنت

داده‌های منتشرشده در سامانه پایش ترافیک شبکه شرکت ارتباطات زیرساخت (IRIX) نشان می‌دهد مسابقات تیم ملی در جام جهانی ۲۰۲۶، تأثیری مستقیم و قابل‌توجه بر مصرف اینترنت کشور داشته است.

پیش‌تر و در جریان دیدار ایران و بلژیک در ۳۱ خردادماه، رکورد پیک ترافیک اینترنت کشور پس از ۸۸ روز شکسته شد و حجم ترافیک شبکه به ۷.۵۶ ترابیت بر ثانیه رسید. این رقم نشان‌دهنده حضور گسترده کاربران در بستر آنلاین برای تماشای مسابقات تیم ملی است.

مارا در تلگرام دنبال کنید .
🆔@CodeStorePro

شروع دوره‌های برنامه‌نویسی کدمنتا

اگر می‌خواهی برنامه‌نویسی را از مسیر درست شروع کنی، ثبت‌نام دوره‌های جدید کدمنتا آغاز شده است

چرا کدمنتا؟
✅ منتور اختصاصی در طول دوره
✅ رفع اشکال و پاسخ به سوالات
✅ بررسی پروژه‌ها و تمرین‌ها
✅ یادگیری پروژه‌محور
✅ آمادگی برای ورود به بازار کار

حوزه‌های آموزشی
💻 فرانت‌اند دولوپر
⚙️ بک‌اند دولوپر
📅 شروع دوره: ۲۰ تیر
*با توجه به تعطیلی های کل کشور به 20 تیر تغییر کرد*
⏳ ظرفیت محدود

برای حفظ کیفیت منتورشیپ، تعداد پذیرش هر دوره محدود است.


اگر قصد ثبت‌نام داری، بهتر است ثبت‌نامت را به روزهای آخر موکول نکنی.
@codementaCenter


ما را در تلگرام دنبال کنید .
@CodeMenta

جنگ سخت‌افزاری در سیلیکون‌ولی؛ اپل علیه OpenAI به دادگاه رفت

شاید باورتان نشود، اما غول دنیای گوشی‌های هوشمند و پرچمدار هوش مصنوعی حالا پای میز محاکمه نشسته‌اند. اپل روز جمعه با تنظیم شکایتی در دادگاه فدرال کالیفرنیا، OpenAI را به سرقت سیستماتیک اسرار تجاری متهم کرده است. داستان از جایی شروع می‌شود که اپل می‌گوید بیش از ۴۰۰ نفر از کارمندان سابقش حالا در OpenAI مشغول کارند و ظاهراً بعضی از آنها وسوسه شده‌اند که خاطرات کاری خود را با خود به خانه جدید ببرند.


ما را در تلگرام دنبال کنید .
🆔@CodeStorePro

⚠️ هشدار امنیتی، موج جدید حملات مهندسی اجتماعی در لینکدین

در روزهای اخیر، گزارش‌هایی از یک کمپین کلاهبرداری در لینکدین منتشر شده که با هدف آلوده کردن سیستم کاربران انجام می‌شود.

روند این حمله معمولاً به این شکل است:

✔️ مهاجم با هویتی به ظاهر معتبر با شما ارتباط برقرار می‌کند.

✔️ از رزومه و سوابق شغلی‌تان تعریف کرده و یک فرصت شغلی با حقوقی وسوسه‌کننده پیشنهاد می‌دهد.

✔️ سپس برای توضیح شرایط همکاری، یک فایل PDF ارسال می‌کند و از شما می‌خواهد آن را باز کنید.

در ظاهر همه چیز عادی است، اما همین فایل می‌تواند آغاز یک حمله سایبری باشد.

در برخی موارد، فایل PDF به‌عنوان طعمه (Lure) عمل کرده و کاربر را به دانلود بدافزار، اجرای محتوای مخرب یا ورود به صفحات جعلی هدایت می‌کند.

چگونه از خودمان محافظت کنیم؟

🔹 به فایل‌های ارسالی افراد ناشناس اعتماد نکنید.

🔹 هویت شرکت و استخدام‌کننده را بررسی کنید.

🔹 سیستم‌عامل و PDF Reader خود را همیشه به‌روز نگه دارید.

🔹 در صورت تردید، فایل را با سرویس‌هایی مانند VirusTotal بررسی کنید.

@CodeStorePro

دوست دارید بدانید AI قبل از تغییر کد، دقیقا کدام بخش ها را برسی کرده است؟

وقتی از ابزارهایی مثل Claude Code یا Codex برای توسعه نرم‌افزار استفاده می‌کنید، معمولاً در پایان فقط یک فایل Session Log دریافت می‌کنید؛ فایلی که نشان می‌دهد عامل هوش مصنوعی چه کارهایی انجام داده، اما نمی‌گوید چگونه به آن تصمیم رسیده است.

پروژه MindWalk دقیقاً برای حل همین مشکل ساخته شده است.

این ابزار، لاگ اجرای Coding Agent را روی یک نقشه سه‌بعدی از ساختار پروژه بازسازی می‌کند و مسیر حرکت عامل را به‌صورت بصری نمایش می‌دهد.

به‌جای خواندن صدها خط فایل JSONL، می‌توانید ببینید:
✅ هوش مصنوعی ابتدا کدام بخش‌های Repository را بررسی کرده است.
✅ روی چه فایل‌هایی بیشتر زمان صرف کرده است.
✅ کدام فایل‌ها فقط خوانده شده‌اند و کدام‌ها ویرایش شده‌اند.
✅ آیا Agent فقط در محدوده مورد انتظار شما فعالیت کرده یا بخش‌های غیرمرتبط پروژه را نیز جستجو کرده است.

از قابلیت‌های جالب MindWalk می‌توان به موارد زیر اشاره کرد:
🔹 نمایش ساختار پروژه صورت Tree یا Terrain
🔹 بازپخش مرحله‌به‌مرحله کل Session
🔹 نمایش مسیر جستجو، مطالعه و ویرایش فایل‌ها
🔹 تایم‌لاین تعاملی برای پرش بین رویدادهای مختلف
🔹 اجرای کاملاً Local؛ هیچ داده‌ای از سیستم شما خارج نمی‌شود.

اگر از Coding Agentها در پروژه‌های واقعی استفاده می‌کنید، MindWalk می‌تواند دید بسیار خوبی نسبت به نحوه تحلیل و تصمیم‌گیری آن‌ها در اختیار شما قرار دهد و فرآیند Debug، Review و ارزیابی عملکرد Agent را بسیار ساده‌تر کند.

می توانید این پروژه را از اینجا مشاهده کنید.

@CodeStorePro

دانشجوی ۲۲ ساله دستگاهی ۳۰ پوندی ساخت که حرف‌ها را جلوی چشمتان زیرنویس می‌کند .

تا حالا شده تو جمعی بنشینی و هیچی از حرف‌های بقیه نفهمی؟ نه به خاطر اینکه زبان بلد نیستی، گاهی لهجه‌ها آنقدر فرق دارند که آدم حس می‌کند توی یک فیلم خارجی بدون زیرنویس نشسته. حالا یک دانشجوی ۲۲ ساله در دانشگاه پلی‌موث انگلستان برای این مشکل راه‌حلی پیدا کرده؛ آن هم با قیمتی که خیلی‌ها می‌توانند بپردازند.

میلیا محت عصراف، دانشجوی مهندسی برق و الکترونیک، شش ماه از عمرش را گذاشته تا دستگاهی طراحی کند که حرف‌های مردم را می‌شنود، به زبانی که شما می‌خواهید ترجمه می‌کند و بعد مثل زیرنویس فیلم‌ها، متن را جلوی چشم‌هایتان نمایش می‌دهد. بهترین بخش ماجرا این است که هزینه ساخت این دستگاه حدود ۳۰ پوند (کمتر از ۵۰۰ هزار تومان) است.

این دستگاه چطور کار می‌کند؟ یک میکروفون کوچک صدای طرف مقابل را ضبط می‌کند. یک مدل هوش مصنوعی آن را تشخیص می‌دهد و به زبان مورد نظر ترجمه می‌کند. بعد از طریق وای‌فای، متن به یک میکروکنترلر (که در واقع یک کامپیوتر کوچک است) فرستاده می‌شود و نهایتاً از طریق یک آینه، عدسی و بازتاب‌دهنده، متن جلوی چشم کاربر ظاهر می‌شود. درست مثل زیرنویس واقعی.

میلیا می‌گوید ایده این پروژه از دوران کودکی‌اش آمده: «من در یک محیط چندزبانه بزرگ شدم و همیشه آدمی بودم که نمی‌فهمیدم بقیه چه می‌گویند. مترجم‌های فعلی یا به تلفن همراه نیاز دارند یا صدا پخش می‌کنند که مکالمه را مختل می‌کند، یا عینک‌های هوشمند آنقدر گران‌قیمت هستند که از دسترس خیلی‌ها خارج است.»

اما این دستگاه فقط برای ترجمه زبان‌های خارجی نیست. میلیا تأکید دارد که برای افراد کم‌شنوا هم کاربرد دارد: «این دستگاه در نسخه‌برداری (تبدیل گفتار به متن) عالی عمل می‌کند؛ پس افراد کم‌شنوا هم می‌توانند زیرنویس زنده داشته باشند.»

نکته جالب اینکه تمام مواد استفاده‌شده در این دستگاه ارزان‌قیمت و بازیافتی هستند و خبری از آن امکانات اضافی که قیمت عینک‌های هوشمند را نجومی می‌کند، در آن نیست. میلیا می‌گوید هدفش ساخت فناوری‌هایی است که مردم واقعاً به آن نیاز دارند؛ بدون اینکه قرار باشد شرکت‌ها از داده‌هایشان سوءاستفاده کنند.

و حرف آخرش برای کسانی که می‌خواهند دست به کار شوند: «همین الان شروع کنید، حتی اگر هیچی نمی‌دانید. فقط یک کاغذ بردارید و ایده‌تان را بنویسید. بقیه‌اش خودش درست می‌شود.»

منبع : BBC Tech

مارا در تلگرام دنبال کنید .
🆔@CodeStorePro

طرح جدید در مدیریت History ها در Git!

تا امروز برای اصلاح یک Commit Message یا شکستن یک Commit بزرگ مجبور بودید سراغ git rebase -i بروید اما یک خبر خوب!

در Git 2.54 یک قابلیت آزمایشی جدید با نام git history معرفی شده که ویرایش تاریخچه را بسیار ساده‌تر می‌کند.دو دستور اولیه آن عبارت‌اند از:
🔹 git history reword
برای تغییر پیام یک Commit بدون درگیر شدن با Interactive Rebase.

🔹 git history split
برای تقسیم یک Commit بزرگ به چند Commit کوچک‌تر؛ مناسب زمانی که چند تغییر نامرتبط را اشتباهی در یک Commit ثبت کرده‌اید.

این قابلیت فعلاً Experimental است، اما نشان دهنده این است که تیم Git به سمت ساده‌تر کردن کارهایی می‌رود که قبلاً نیازمند دستورات پیچیده بودند.

ا

گر زیاد با Git کار می‌کنید، این ویژگی می‌تواند یکی از کاربردی‌ترین تغییرات نسخه‌های اخیر باشد.👌

میتوانید از اینجا بیشتر در این مورد مطالعه کنید.

@CodeStorePro

📢 گزارش مهم: خطر محتوای آسیب‌زا در یوتیوب برای نوجوانان
‌
تحقیقات جدید نشان می‌دهد که الگوریتم پیشنهاددهنده یوتیوب (Up Next) همچنان ویدئوهای مربوط به اختلالات خوردن و رژیم‌های غذایی بسیار خطرناک را به کاربران نوجوان پیشنهاد می‌دهد.
‌
📌 نکات مهم:
۱. از هر ۱۰ پیشنهاد یوتیوب به نوجوانان، ۱ مورد حاوی محتوای آسیب‌زا است.
۲. این محتواها شامل تشویق به لاغری مفرط و رژیم‌های بسیار کم‌کالری است.
قوانین جدید در حال تلاش برای محدود کردن دسترسی زیر ۱۶ سال‌ها به شبکه‌های اجتماعی (مانند یوتیوب و تیک‌تاک) است که از سال ۲۰۲۷ اجرایی می‌شود.
‌
✅ پیشنهاد: نظارت بر فعالیت آنلاین نوجوانان و استفاده از ابزارهای کنترل محتوا ضروری است.

🆔@CodeStorePro
‌

ابزارهای نظارتی مبتنی بر هوش مصنوعی؛ آیا واقعاً باعث بهبود کار می‌شوند؟

پرستاران Kaiser می‌گویند استفاده از سیستم‌های نظارتی مبتنی بر AI، به‌جای بهبود عملکرد، فشار کاری و نظارت بر کارکنان را افزایش داده است.
از ارزیابی عملکرد بر اساس مدت تماس گرفته تا تحلیل لحن و میزان همدلی؛ منتقدان معتقدند این ابزارها ممکن است قضاوت حرفه‌ای را قربانی معیارهای عددی و بهره‌وری کنند.

هوش مصنوعی برای کمک است یا یک ابزاری برای نظارت بیشتر؟ 🤔


منبع را از اینجا بخوانید.

@CodeStorePro

🔴 آسیب‌پذیری خطرناک در هسته WordPress؛ از سایت تا Shell!

آسیب‌پذیری جدیدی با نام wp2shell در هسته WordPress کشف شده که به مهاجم ناشناس اجازه می‌دهد بدون نیاز به ورود به حساب کاربری یا نصب افزونه خاص، از طریق ترکیب یک نقص در REST API و یک SQL Injection، به اجرای کد روی سرور (RCE) برسد.

🔴 نسخه‌های آسیب‌پذیر:
نسخه WordPress 6.9.0 تا 6.9.4
نسخه WordPress 7.0.0 تا 7.0.1

اگر سایت شما از این نسخه‌ها استفاده می‌کند، توصیه می‌شود فورا به‌روزرسانی کنید.

⚠️ نکته مهم:
اگر سایت قبلاً در معرض این آسیب‌پذیری بوده، فقط آپدیت کردن کافی نیست و لاگ‌ها، کاربران جدید و فایل‌های مشکوک هم باید بررسی شوند.

@CodeStorePro

در بله هم کنار شما هستیم! 💙

اگر از مطالب آموزشی، اخبار دنیای تکنولوژی، برنامه‌نویسی، هوش مصنوعی و ابزارهای کاربردی و طراحی وب خوشتون میاد، می‌تونید ما رو در پیام‌رسان بله هم دنبال کنید.

📌 شناسه کانال CodeStorePro در بله:
@CodeStorePro
منتظرتون هستیم 🌱

🔴 آسیب‌پذیری بحرانی NGINX؛ از Crash شدن Workerها تا احتمال اجرای کد از راه دور

یک آسیب‌پذیری امنیتی جدی در NGINX شناسایی شده که می‌تواند مهاجمان را قادر کند بدون نیاز به احراز هویت و از راه دور، با ارسال درخواست‌های HTTP دست‌کاری‌شده، باعث از کار افتادن Worker Processهای NGINX شوند.

این آسیب‌پذیری به مشکلاتی در مدیریت حافظه مانند:
▪️ Use-After-Free
▪️ Heap-Based Buffer Overflow

مرتبط است و در برخی سناریوها می‌تواند از یک حمله ساده برای ایجاد اختلال در سرویس (DoS)، به اجرای کد از راه دور (RCE) منجر شود.

⚠️ البته RCE در همه محیط‌ها به‌صورت قطعی امکان‌پذیر نیست و به شرایطی مانند وضعیت ASLR سیستم و پیکربندی NGINX وابسته است. بااین‌حال، چون NGINX معمولاً در لایه ورودی زیرساخت، به‌عنوان Web Server، Reverse Proxy یا Load Balancer فعالیت می‌کند، سوءاستفاده از چنین آسیب‌پذیری‌ای می‌تواند پیامدهای گسترده‌ای داشته باشد

✅ توصیه امنیتی :
سرورهایی که NGINX آن‌ها مستقیماً روی اینترنت در دسترس است، به‌خصوص محیط‌هایی که از HTTP/2 یا HTTP/3 استفاده می‌کنند، باید با اولویت بیشتری بررسی شوند.
بنابراین نسخه NGINX نصب‌شده و پکیج‌های وابسته را بررسی کرده و در سریع‌ترین زمان ممکن به نسخه‌های اصلاح‌شده ارتقا دهید.

این تنها آسیب پذیری یک وب‌سرور نیست؛ بلکه می‌تواند نقطه ورود مهاجم به بخش مهمی از زیرساخت شما باشد.

@CodeMenta

🔴 آسیب‌پذیری n8n، و نکته مهم درباره‌ی JWT، Issuer و Identity Binding باید بدانید.

⚠ یک آسیب‌پذیری امنیتی در n8n نشان داد که در معماری‌های مبتنی بر Token Exchange، حتی یک پیاده‌سازی ظاهراً درست از JWT می‌تواند به Account Takeover منجر شود.

ریشه‌ی آسیب‌پذیری این بود، در محیط‌هایی که چند Token Issuer مورد اعتماد هستند، هویت کاربر در JWT با دو claim اصلی تعریف می‌شود:
iss → چه کسی توکن را صادر کرده؟
sub → این توکن متعلق به کدام Subject

در این معماری‌، مقدار sub به‌تنهایی یک شناسه‌ی جهانی نیست.برای مثال:
Issuer A + sub: 12345 → User A
Issuer B + sub: 12345 → User B
اگر برنامه فقط مقدار sub را برای پیدا کردن کاربر استفاده کند:
findUserBySubject(sub)
در واقع ممکن است هویت کاربر اشتباه Resolve شود.چون هویت واقعی باید شبیه این باشد:
Identity = (iss, sub)
یا
Issuer + Subject → User
و نه این شکل❗ :
Subject → User

در سیستم‌ های SSO و Identity Federation، شناسه‌های sub معمولاً فقط در Scope همان Issuer یکتا هستند.بنابراین این فرض خطرناک است:«اگر sub یکسان است، پس کاربر هم یکسان است.»این موضوع می‌تواند باعث شود یک توکن معتبر از یک Identity Provider، در شرایط خاص با حساب کاربری متعلق به یک Issuer دیگر اشتباه گرفته شود.
در نهایت Authentication درست انجام شده؛اما Identity Binding اشتباه است.

⚠ نکته مهم برای توسعه‌دهندگان
اعتبارسنجی JWT فقط این نیست که:
✅ Signature معتبر است
✅ Token منقضی نشده
✅ Issuer در لیست مجاز است
بلکه باید مطمئن شویم هویت استخراج‌شده از توکن، به درستی به حساب داخلی سیستم Map شده است و به‌طور مفهومی:
❌ اعتبار سنجی آسیب‌پذیر:
User = find(sub)
✅ اعتبار سنجی امن‌تر:
User = find(
issuer = iss,
subject = sub)

و در دیتابیس به این شکل:
UNIQUE (issuer, subject)

به‌جای اینکه فقط روی subject تکیه کنیم❗

اهمیت این موضوع در اینجاست:
▫️ OAuth 2.0 و OpenID Connect
▫️ SSO
▫️ Identity Federation
▫️ Multi-Tenant Applications
▫️ Token Exchange
▫️ سرویس‌هایی که چند IdP را Trust می‌کنند.
▫️ معماری‌های Microservices

🔸 و یک نکته‌ی مهم برای DevOpsها:
وقتی چند Identity Provider را به یک سرویس متصل می‌کنید، فقط پیکربندی Trust کافی نیست.باید بررسی کنید:
1️⃣ آیا iss و sub با هم برای شناسایی کاربر استفاده می‌شوند؟
2️⃣ آیا aud به‌درستی Validate می‌شود؟
3️⃣ آیا توکن از یک Issuer مجاز آمده است؟
4️⃣ آیا Mapping بین هویت خارجی و کاربر داخلی به‌صورت امن انجام می‌شود؟
5️⃣ آیا در دیتابیس Constraint مناسب برای جلوگیری از Collision وجود دارد؟

به صورت خلاصه:
JWT Valid≠Identity Correct
و مهم‌ترین درس این آسیب‌پذیری، احراز هویت فقط اثبات نمی‌کند که «این توکن معتبر است»؛سیستم باید مطمئن شود که «این توکن متعلق به کدام هویت است و این هویت دقیقاً به کدام حساب داخلی متصل می‌شود.»

@CodeStorePro

🔴 کمپین FakeGit با استفاده از ۷۶۰۰ مخزن GitHub، بدافزار SmartLoader را منتشر کرد.

🔹یک کمپین گسترده با نام *FakeGit* نشان می‌دهد که حملات Supply Chain در اکوسیستم توسعه نرم‌افزار، دیگر فقط به Package Managerها محدود نیستند.

مهاجمان حدود ۷۶۰۰ Repository مخرب را با استفاده از بیش از ۶۶۰۰ پروفایل ایجاد کرده‌اند. این مخزن‌ها با ظاهری شبیه پروژه‌های واقعی، ابزارهای توسعه، AI Skillها و MCP Serverها ساخته شده‌اند تا در جست‌وجوهای معمولی و حتی فرآیندهای کشف ابزار توسط AI Agentها ظاهر شوند.

🔹برخی از این Repositoryها حتی خود را به‌عنوان ابزارهایی برای سرویس‌هایی مانند Docker، Jenkins، Gmail، WhatsApp و Databricks معرفی می‌کردند.


⚠ در این زنجیره، Repository صرفاً یک محل میزبانی فایل نیست؛ بلکه بخشی از Social Engineering Layer حمله محسوب می‌شود.

مهاجم ابتدا یک پروژه‌ی ظاهراً معتبر می‌سازد، مستندات نصب ارائه می‌کند و سپس کاربر را به اجرای دستور یا دانلود Artifact خاصی هدایت می‌کند.


🔸`README.md` می‌تواند بخشی از Attack Surface باشد.

🔸اگر توسعه‌دهنده بدون بررسی دقیق، دستورهای موجود در README را در محیط محلی، CI/CD یا حتی Production اجرا کند، عملاً مستندات مخرب را به یک Execution Path تبدیل کرده است.

برای اطلاعات بیشتر، می توانید به اینجا مراجعه کنید.

@CodeStorePro

⭐️ ۱۳ ابزار قدرتمند هوش مصنوعی که باید بشناسید
این ابزارها به شما کمک می‌کنند هوشمندتر کار کنید، سریع‌تر تولید محتوا کنید و زمان زیادی صرفه‌جویی کنید؛ فرقی نمی‌کند در حال طراحی، تحقیق، نویسندگی، ویرایش یا ساخت محتوا باشید.
1️⃣ Claude.ai
🧠 حل مسائل مختلف و کمک در انجام کارهای فکری
2️⃣ PicWish.com
🖼 حذف پس‌زمینه تصاویر به‌صورت سریع و آسان
3️⃣ Perplexity.ai
🔎 انجام تحقیقات و پیدا کردن اطلاعات دقیق
4️⃣ Suno.ai
🎵 ساخت و تولید موسیقی با هوش مصنوعی
5️⃣ Canva.com
🎨 طراحی گرافیک، پوستر، پست و محتوای بصری
6️⃣ ElevenLabs.io
🎙 تولید و شبیه‌سازی صدا با هوش مصنوعی
7️⃣ Grammarly.com
بهبود و اصلاح متن‌های انگلیسی
8️⃣ Luma.ai
ساخت و تولید ویدئو با هوش مصنوعی
9️⃣ RecCloud.com
خلاصه‌سازی ویدئوهای یوتیوب
🔟 Runway.ml
ویرایش و ساخت ویدئوهای حرفه‌ای
1️⃣1️⃣ Descript.com
ویرایش پادکست و محتوای صوتی
1️⃣2️⃣ Syllaby.io
ساخت ویدئوهای بدون نمایش چهره (Faceless)
1️⃣3️⃣ Skysnail.io
ساخت کاور و تامبنیل‌های جذاب برای افزایش بازدید
📌 این لیست را ذخیره کنید؛ ممکن است در آینده برای کار، یادگیری و تولید محتوا بسیار کاربردی باشد.
@CodeStorePro