Datasette je objavio dva bezbjednosna izdanja, a propuste su našli modeli u reviziji

Datasette objavljuje bazu SQLite kao sajt kroz koji se ona pregleda, a dodaci odlučuju ko smije da vidi koju tabelu. Obje održavane linije dobile su bezbjednosno izdanje: 1.0a39 u alfa liniji i 0.65.4 u stabilnoj porodici 0.65. Uputstvo uz njih je usko i jasno — nadogradi se instalacija koja je na javnom vebu, a naročito ona kod koje prijava korisnika čuva dio sadržaja. Instalacija Datasette Cloud ispravke već ima.

Gdje je provjera dozvola bila potvrdna, a pogrešna

Gotovo svaka ispravka u ovom izdanju tiče se kontrole pristupa, a ne prekida programa. U svakom slučaju je pravilo postojalo, kod ga je tražio, a odgovor je i dalje bio potvrdan za nešto što je vlasnik htio da sakrije. Tako otkazuje sloj ovlašćenja građen tabelu po tabelu, i zato obavještenje izdvaja baš instalacije u kojima su javni i privatni podaci pomiješani.

• Provjera dozvola za tabele i poglede sada računa na to da su imena u SQLiteu neosjetljiva na veličinu slova, pa ista tabela napisana drukčije više nije drugi objekat.
• Filter koji koristi ?_through= sada traži dozvolu i za posrednu tabelu kroz koju prolazi.
• Statističke tabele sqlite_stat1 do sqlite_stat4 podrazumijevano su zabranjene, a prikaz sheme, krajnje tačke za strane ključeve i krajnje tačke za pojedinačan red sada provjeravaju dozvolu prije nego što bilo šta razriješe.
• Ispravljeno je zaštitno navođenje imena kolona koja dolaze iz nepovjerljive sheme, i u SQL-u i u HTML-u, a kolona s adresom se ispisuje kao veza samo kad je adresa provjerena i koristi HTTP ili HTTPS.
• Privatni odgovori se sada šalju sa zaglavljem koje zabranjuje čuvanje u kešu, kolačić aktera poštuje podešeno vrijeme isteka, ograničeni akter više ne može da napravi token API-ja, a učitavanje proširenja se isključuje čim se učitaju proširenja zadata u komandnoj liniji.

Reviziju su vodili modeli, a pregledali ljudi

Simon Willison i Alex Garcia sproveli su reviziju poslije prijava koje je poslao Sevban Denmez, uz modele Claude Fable 5.1, GPT-5.6 i GPT-6 Astra, u zajedničkom privatnom repozitorijumu koda. Na ispravkama su zatim proveli skoro sedmicu dana. Willison navodi da su modeli našli suptilne propuste i da će ovakva revizija ubuduće biti dio razvojnog rada na projektu.

Podjela posla je dio koji se isplati preuzeti. Za većinu nalaza je jedan čovjek pisao automatski test koji pokazuje propust, a drugi ispravku, pa su svaki nalaz pogledala dva čovjeka, uz agente. Dio testova je zadržan izvan javnog repozitorijuma koda, da bi vlasnici instalacija imali vremena za nadogradnju prije nego što detalji budu opisani.