Thomas Hawk posted a photo:

The TanStack team has documented security measures and proposals following a damaging breach last week, including the possibility of making pull requests (PRs) by invitation only - a break from the open-contribution model that defines most open source projects. The attack used code from the Shai-Hulud worm, published by malware outfit TeamPCP, which can extract secrets from memory used by GitHub Actions. It began with a PR that triggered an automatic workflow via TanStack's use of the pull_request_target feature, causing the malicious code to be built and run by a GitHub Action, poisoning a cache used across the entire repository. The TanStack team said that its workflow used a pattern GitHub warns against: pull_request_target id intended for PRs that "do not require dangerous processing, say building or running the content of the PR." Since the attack, TanStack has removed all use of pull_request_target from its continuous integration (CI) pipeline, disabled caches used by pnpm (a Node.js package manager) and GitHub Actions, pinned actions to commit SHA (Secure Hash Algorithm) hashes rather than retargetable tags, and disabled use of text messages for 2-factor authentication. The TanStack repository also now uses a feature of pnpm 11 called minimumReleaseAge, which requires dependencies to have been published for a set period before they can be installed. The idea is that compromised packages are usually detected and removed before that period completes. A more drastic proposal is closing the ability for external contributors to open pull requests at all. "We are absolutely not going closed source," the team said, but it could put in place a mechanism where contributions begin with an issue or discussion, and a PR can be submitted only by invitation. TanStack acknowledged that it would be a radical step to take as "open PRs are part of how a lot of us became maintainers in the first place." It might not be necessary if the repository can be hardened enough that malicious PRs cannot cause damage. It is a debate that maintainers of other open source projects will watch with interest. Supply chain security is a huge issue, but making pull requests invitation-only could hurt projects by deterring contributions. Another aspect of this is the extent to which GitHub itself is to blame. "Cache scoping in GitHub Actions shouldn't silently bridge fork PRs and base-repo branches," said the TanStack team.®

​Josefien van Kralingen, HR-manager binnen de logistieke sector, is diep teleurgesteld in de houding van magazijnmedewerkers. Volgens haar ontbreekt het jonge werknemers steeds vaker aan ‘een natuurlijke drive om dozen te verplaatsen’. Dat de medewerkers nét iets meer verdienen dan het minimumloon, zou bijzaak moeten zijn volgens de HR-manager.

“Tegenwoordig wil iedereen ineens ‘rondkomen’. Tijdens een sollicitatiegesprek vroeg iemand letterlijk hoeveel hij netto overhield”, vertelt Van Kralingen zichtbaar aangedaan. “Dan denk ik: heb je überhaupt wel liefde voor het logistieke proces? Of zie je dit echt alleen maar als bron van inkomsten?”

“Kijk eens verder dan die paar getalletjes op je loonstrook. Wij bieden zoveel meer dan alleen een salaris”, vervolgt de HR-manager. “Een jong team, veel verantwoordelijkheid, gratis thee en koffie. Dan vind ik het jammer dat mensen alsnog zeggen dat ze de huur en energiekosten niet meer kunnen betalen. Wij zoeken mensen die verder kijken dan financiële bestaanszekerheid.”

​

&

Protomartyr

Protomartyr

DEN HAAG (ANP) - ProVeenendaal heeft maandag namens een groep lokale Pro-partijen bij de Raad van State gepleit tegen de nieuwe naam van GroenLinks-PvdA. De fusiepartij is omgedoopt tot Progressief Nederland, kortweg PRO. De lokale partijen zeggen nu al last te hebben van naamsverwarring. De Kiesraad vindt het aan de lokale centrale stembureaus om hierover te oordelen bij de volgende gemeenteraadsverkiezingen in 2030.

De lokale Pro-partijen hebben "jarenlang gebouwd" aan hun imago en lopen ertegenaan dat ze door kiezers "voortdurend" worden verward met hun nieuwe naamgenoot, zei Dario Castiglione van ProVeenendaal tegen de hoge rechters.

De Kiesraad wees erop dat wettelijk gezien bij de registratie van een nieuwe landelijke partijnaam alleen hoeft te worden vastgesteld of er geen verwarring is met de naam van een andere landelijke partij. De lokale Pro-partijen hopen dat de RvS verder kijkt dan deze in hun ogen te beperkte interpretatie van de wet en ook verwarring in de regio in ogenschouw neemt.

"Ik had niet gedacht dat jullie ooit nog in het huwelijksbootje zouden stappen”, zegt Ellen Deckwitz tegen een vriendin op haar huwelijksdag, "Ik ook niet", zegt die. "Het was een tijdje op, de vonk was weg."

Een 30-jarige vrouw uit Hoogvliet is aangehouden op verdenking van diefstal en het witwassen van gouden sieraden. Het gaat om honderden ringen, kettingen en armbanden die werden verkocht aan goudinkopers. De vrouw, een zorgverlener, verdiende daar goed aan.

Handy app: “Point your camera at anything (a dress, a paint swatch, a flower, your kid’s drawing) and What Color Is This? names the color instantly.” I like the increasingly specific color labels (e.g. blue to light blue to Tiffany blue).