개발 도구와 언어, 웹 기술과 오픈소스 프로젝트의 변화를 다룹니다.
Crissy Field GmbH는 Common Crawl에서 찾은 Lovable 프로젝트 159,041개를 조사해, 처음 로딩 때 Supabase 데이터를 보낸 24,664개 사이트 중 7,403곳에서 로그인 없이 이메일 주소가 포함된 데이터베이스 기록을 확인했다고 밝혔습니다. 이 30%는 조사한 사이트 안에서 해당 기록을 찾은 비율이며, 이메일 주소만으로 개인정보 여부를 확정할 수 없고 표본도 전체 앱을 대표하지 않습니다. 보고서는 프로필과 대화, 여권 정보가 담긴 노출 사례도 공개했습니다.
Pocket ID 유지관리자 stonith404가 v3 UI를 미리 공개하고 정식 출시 전 피드백을 받고 있습니다. 이용자들은 감사 로그에서 로그인 활동 전체를 바로 확인하고 대체 로그인 수단을 찾기 쉬워졌다고 전했으며, v2의 간결한 느낌이 줄었다는 의견도 냈습니다. 2026년 11월 2일 현재 저장소 최신 릴리스는 v2.19.1입니다.
OpenAI는 2026년 10월 30일 웹사이트가 robots.txt에 경로별 AI 학습 선호를 표시하는 공통 신호를 지원하겠다고 발표했습니다. 신호는 크롤링 제한과 별개이며, OpenAI는 향후 수개월 안에 구현할 계획입니다.
놀런 로슨은 코딩 에이전트에 같은 포켓몬 앱을 12개 JavaScript 프레임워크와 구성으로 구현하게 하고 시간·토큰·결과물을 비교했습니다. Astro는 실행 시간이 가장 짧았고 Hono+htmx는 API 단가 기준 실행 비용이 가장 낮았습니다. 시험 대상은 상호작용이 적은 콘텐츠 중심 앱으로, 복잡한 웹앱의 순위까지 보여주지는 않습니다.
plMail의 0.4.x 릴리스에 OpenPGP·S/MIME 종단간 암호화와 POP3, JMAP 계정 연결이 추가됐습니다. 기존 메일 계정을 한곳에 모으는 자체 호스팅 웹 클라이언트이며 Android 앱은 Google Play에서 유료 얼리 액세스로, GitHub에서는 무료 빌드로 제공됩니다.
레딧은 2026년 4분기 미국 밖 일부 시장에서 로그인 중심 이용 방식을 시험하겠다고 밝혔습니다. 개인화와 광고, 데이터 보호 등을 이유로 들었으며, 로그아웃 상태에서 첫 화면과 검색·공유 링크를 어디까지 열어둘지는 시험을 거쳐 정할 계획입니다.
Parameter 연구진은 ChatGPT 공개 대화의 그래프와 HTML Preview를 결합해 링크를 연 사용자의 로그인 세션에서 코드를 실행하고, 비공개 대화 내용을 읽어 일부를 외부로 보낼 수 있었다고 밝혔습니다. Parameter에 따르면 OpenAI는 보고를 P1으로 분류했으며 2026년 10월 26일 두 웹 프런트엔드에서 취약한 메시지를 거부하도록 수정했습니다.
OTW는 10월 30일 AO3의 보안 사고 정황을 발견해 조사 중이라고 밝혔습니다. 데이터 삭제는 없다고 했지만 사용자 데이터베이스 탈취 여부는 배제하지 못했고, 비밀번호를 재사용한 이용자에게 다른 사이트의 비밀번호 변경을 권고했습니다. 당시 복구 예상은 최소 2주, 최대 4주였습니다.
Rust 도구 cfsolve가 Turnstile 위젯 토큰과 챌린지 페이지용 cf_clearance 쿠키를 반환하는 기능을 공개했습니다. 헤드리스 브라우저 대신 Safari·Chrome 계열 프로필과 기록된 검사 응답을 사용하며, 쿠키는 프로필과 같은 IP 주소 및 사용자 에이전트로 보내야 합니다. 위젯 토큰은 사이트 측 검증이 필요하고, 쿠키의 효력은 사이트 설정과 세션 행동에 따라 달라집니다.
Infinite Mac 운영자가 브라우저에서 여러 BeOS 버전을 실행할 수 있도록 추가했습니다. BeOS 구동 과정에서 DingusPPC의 입력·화면·디스크 호환성을 보완했습니다. 발표 글은 손 모양 커서에 대한 인상을 설명하며, 토론에 올라온 클릭 불능 제보의 원인은 다루지 않습니다.
Lightpanda 프로젝트가 933개 URL을 크롤링하는 시험에서 25개 병렬 작업 기준 4.81초와 메모리 최대 123MB를 기록했다고 밝혔습니다. 같은 조건의 Headless Chrome은 46.70초와 2.0GB를 기록했으며, 이 비교는 화면 렌더링 없는 크롤링 작업과 프로젝트가 보고한 측정에 한정됩니다.
Bunny.net은 인프라 제공업체의 무단 접근 신고 뒤 아르메니아 CDN 서버의 트래픽을 차단했습니다. 두 회사의 조사에서 서버 접근 증거는 나오지 않았지만 가능성은 배제되지 않아, Bunny는 인증서를 재발급하고 자체 인증서를 쓰는 고객에게 새 개인 키로 교체하라고 권고했습니다.
VoidZero가 2026년 9월 28일 Vite+ 1.0을 출시했습니다. Vite를 포함한 개발 도구를 `vp` 명령과 `vite.config.ts`를 중심으로 묶어 관리하는 도구 체계입니다. ESLint·Prettier와 Git 훅을 옮길 때는 프로젝트별 설정을 조정하고 검사 결과를 확인하는 과정이 필요합니다.
Epoch AI는 GLM 5.3이 공개된 보안 수정 내용을 분석해 Firefox 6개 버전에서 웹페이지 방문만으로 로컬 파일을 빼내는 공격을 구성했다고 보고했습니다. 공격에 필요했던 별도 취약점은 Firefox 159에서 수정됐지만, Epoch AI는 이 버전에서 공격이 재현되는지 아직 확인하지 않았습니다.
Pico CSS 관리자가 v2.1.1을 마지막 릴리스로 선언했고, GitHub 저장소는 2026년 10월 4일 보관 처리됐습니다. npm과 jsDelivr CDN, 공식 사이트는 장기 운영할 계획이며, MIT 라이선스에 따라 포크할 수 있지만 별도 이름을 사용해야 합니다.
한 사용자가 취약한 설정 가져오기 기능을 통해 공유기에서 명령 실행 권한을 얻고, MIPS용 PHP 8.5.12와 웹 서버를 올려 외부에 사이트를 공개했습니다. 다만 PHP가 root로 실행된다는 작성자의 설명과 공개 페이지의 환경 변수 표시는 일치하지 않으며, phpinfo가 서버 설정과 요청 정보를 드러내는 문제도 있습니다.
Guile용 Scheme-to-WebAssembly 도구인 Hoot가 0.10.0을 공개했습니다. 게임잼 템플릿은 예제 게임과 빌드·개발 서버·배포 도구를 제공하며, 새 버전 문서는 Safari 26 이상도 지원 대상으로 적었습니다. 다만 템플릿 README의 Safari 안내는 아직 갱신되지 않았습니다.
Discord는 2026년 12월 중순부터 조건을 충족한 공개 서버의 새 메시지를 웹 페이지로 공개하고 검색엔진에 노출할 예정입니다. 서버 관리자와 이용자 모두 개별 메시지 노출을 제어하지만, 설정을 끈 뒤에도 이미 게시된 메시지는 직접 삭제해야 합니다.
PortSwigger 연구자가 SVG 위생 처리 라이브러리 8종을 시험해 6종의 우회 방법을 공개했습니다. 네임스페이스 혼동, XSLT와 Firefox 응답 헤더, Safari의 GIF 처리로 스크립트를 실행할 수 있었으며 DOMPurify 등 두 라이브러리는 우회되지 않았습니다.
브라우저 핑거프린팅 스크립트에서 생물무기와 자해를 다루는 함수명, 유니코드로 숨긴 프롬프트가 발견됐습니다. 작성자는 이를 LLM의 코드 분석을 막으려는 장치로 해석하고, 스크립트의 실제 동작과 수집 신호를 살펴봅니다.