Pautan harian: CFML, ColdFusion, Lucee, E-mel, CSS3 & MySQL — 7 Nov 2026

Enam pautan untuk 2–5 Nov 2026: satu tulisan tentang bot yang menggeledah web shell, satu analisis jadual patch ColdFusion, satu halaman docs Lucee yang baharu, satu keluaran besar docker-mailserver, satu helah CSS untuk :nth-child(), dan satu sumbangan AWS untuk binlog MySQL.

CFML

• A Bot Was Looking for a Back Door on My ColdFusion Server — Bot hantar lebih kurang 100 permintaan untuk fail .cfm rawak dengan ?cmd= base64 'COLD-SHELL', dan semuanya mati dengan missinginclude — itu berita baik, sebab tiada satu baris kod pun jalan. Gregory tunjuk cara baca error macam itu, dua arahan grep/find untuk cari templat yang boleh jalankan program (cfexecute|getRuntime()|ProcessBuilder) dan fail yang berubah 14 hari lepas, versi PowerShell untuk Windows, dan satu peringatan mahal: dia tersekat server blog sendiri minggu itu, jadi setiap halaman ambil 10 saat — sahkan IP dulu sebelum block.

ColdFusion

• ColdFusion Security Patches: Meeting Adobe's 72-Hour Window — Convective kira semula kos jadual patch bulanan: antara 9 Jun dan 8 Sep 2026 Adobe keluar lima bulletin ColdFusion, semua Priority 1, dan laporan VulnCheck tunjuk hampir 29% daripada 884 KEV 2025 dah dieksploit pada atau sebelum hari CVE keluar (tahun sebelumnya 23.6%). Cadangannya praktikal — jam 72 untuk server yang terdedah internet, inventori bertulis, WAF atau IP allowlist sebagai jambatan yang ada tarikh luput, dan rollback yang pernah dilatih; contohnya ACF2023 Update 23 (11 Ogos) yang pasang tanpa error tapi dua aplikasi terus rosak sebab ralat pangkalan data masa application start.

Lucee

• List of Lucee keywords — Sorang pengguna nak tulis UDL Notepad++ untuk Lucee tapi tak jumpa senarai keyword, jadi team Lucee terus tulis halaman docs baharu CFML Keywords, dikumpul ikut guna (statement tanpa argumen, control flow, deklarasi dan modifier, literal, word operator, scope) dan ditanda tag mana yang boleh ditulis dalam script. Dua perangkap yang dia sebut: getFunctionKeywords() sebenarnya pulang kata carian untuk fungsi, bukan reserved word — guna getTagList()/getTagData() dan getFunctionList()/getFunctionData(); dan data versi 'introduced' cuma diisi untuk sebahagian entri sahaja.

E-mel

• Release v17.0.0 — docker-mailserver — Keluaran 5 Nov ini tumpu pada isu keselamatan, tapi ada tiga breaking change yang kena baca sebelum tarik image: Xapian dibuang dan FTS kena pindah ke Flatcurve (indeks lama tak boleh dipakai semula), Redis diganti Valkey — ENABLE_RSPAMD_REDIS jadi ENABLE_RSPAMD_VALKEY dan data Rspamd macam Bayes kena belajar semula — dan config LDAP Postfix kini dijana masa startup dengan nama env POSTFIX_*_QUERY_FILTER. Ada juga rebuild mingguan setiap release dengan patch Debian terkini, jadi tag X.Y.Z yang sama boleh bertukar isi; guna tag X.Y.Z-rN kalau nak rollback.

CSS3

• Re-Implementing :nth-child() With Modern CSS — Temani Afif tulis semula :nth-child() guna style queries dan sibling-index(), sebab selector biasa tak terima var(): dengan if(style(sibling-index() = --B): red) atau julat if(style(--X <= sibling-index() <= --Y): red), nombor A dan B boleh jadi custom property yang ditukar bila-bila masa tanpa sentuh selector. Bahagian 'setiap A' pun boleh dibina atas cara yang sama, dan hasilnya lebih senang dibaca daripada notasi 5n + 8.

MySQL

• Village News: MySQL News + Events (5 November 2026) — AWS sumbang BOLT ke MySQL komuniti: ia hentikan transaksi berbilion bait daripada menyekat commit lain sementara disalin ke binlog, dan crash recovery pun jadi lebih pantas — dah lama hidup dalam Aurora, sekarang dirancang untuk satu innovation release MySQL akan datang. Roundup yang sama juga ada migrasi node-demi-node Galera 8.4 ke Percona XtraDB Cluster 8.4.11 tanpa downtime, dan pelancaran MariaDB Enterprise Platform 2027.