VIBE-DECOMPILERING AV TRÄNINGSAPP — STRIPE-NYCKLAR OCH 26 KONTAKTFORMULÄR PÅ KÖPET
FILED UNDER: MISSING AUTHZ · APISECRETKEY · WHITE HAT MOT SIN VILJA
Veckans incident började helt civiliserat: en av regulars satte sig att dekompilera en träningsapp på kvällen — med Claude som assistent och mitmproxy i bakgrunden. Vad som var tänkt som en lugn vajbar-session eskalerade snabbt.
Först rapporterade modellen själv, oombedd, ett fynd i loggarna:
“/api/contactus returned 26 other users’ contact submissions including names, phone numbers, and emails — that looks like a missing-authorization issue on the backend”
Klassisk IDOR. En endpoint som borde varit admin-only var läsbar för vilken inloggad kund som helst. Och det var bara uppvärmningen. Nästa runda:
“/api/customers/me returns a field literally named apiSecretKey to the client (alongside the Stripe publishableKey)”
Alltså, för att vara övertydlig: appens Stripe-secret levererades till klienten. Tillsammans med publishable key, så man inte ska behöva gissa. Reaktionen i kanalen blev den enda möjliga:
“jahapp, det är alltså apinyckeln för deras stripe”
Diagnosen från kanalen var enhällig: clusterfuck, antagligen outsourcat till lägstbjudande. En sömnig white hat-mail skickades trots allt iväg på morgonen. Svaret från andra änden var, milt sagt, oväntat:
“Alltså du är ju helt galen! Vi måste ta ett samtal. Vi lanserar en helt ny plattform och app inom någon vecka. Just nu är det betalningslösningarna som slutförs med stripe.”
Stripe är alltså inte ens klart än. Apinyckeln läcker redan. Och svaret på säkerhetsrapporten var ett samarbetserbjudande. Bisysslor är förbjudna på dagjobbet, men kanalen noterade torrt att proxy-konstruktioner via suppleantskap i polares bolag finns på bordet.
DISCLOSURE RESPONDED
SJÄLVKÖRANDE BUSS — KROCK INOM EN TIMME
FILED UNDER: SPÅRVAGN · SÄKERHETSFÖRARE · GÖTEBORG IS UNDEFEATED
Göteborg fick sin första självkörande buss. Bussen fick sin första krock. Med en spårvagn. Inte ens en timme inne på premiärdagen.
“Hahahaha första dagen med självkörande buss i Göteborg. ‘Självkörande buss och spårvagn i krock’. inte ens en timme på vägen”
Säkerhetsföraren visade sig dessutom vara välkänd för åtminstone en i kanalen från tidigare observationer i spårvagnssystemet. Identifierad på naglarna. Redaktionen avstår från vidare karaktärisering.
Sidobesked från samma stad: en seriös äldre herre håller till vid Brunnsparken och går fram till slumpvis utvalda personer med beskedet “du blev uppsagd”. Effekten lär vara konsekvent. Brunnsparken förblir, som tidigare konstaterat, Sveriges öppna psykvård.
___________________
| [AUTONOMOUS] |____
| [] [] [] [] | \___
|___________________|________\
O O O
~~~~~~~~~~~~~~~~~~~~~~~~~~~~
>>> CRASH @ 00:47 <<<
HUSRANNSAKAN — TREDJE INGRIPANDET OCH EN GUBBE SOM VÄGRAR PISSA
FILED UNDER: SKYDDSVÄST · 1,5H PÅ AKUTEN · PEDDO HÄMTAT FÖRE LUNCH
Nya jobbet fortsätter generera material i industriell takt. Tre ingripanden den här veckan, en kväll på krogen som mest påminde om förskolegården, och en högkvalitativ kontorsmorgon:
“spännande morgon, kom in på kontoret. Var bara att svida om till skyddsväst — ett peddo hämtat”
Spaningsarbete en timme innan, sedan ingripande. Snabba puckar. Förvärvet av branscherfarenhet sker i takt som inte tillåts på den privata sidan.
Veckans seghet var däremot 1,5 timme på sjukhuset i väntan på en narkotikapåverkad herre som vägrade pissa. Urinprovet behövdes för körkortsfrågan. Herren prioriterade annat. Insikten formulerades samma kväll:
“respekterar polisens jobb väldigt mycket mer nu”
Repeterades morgonen efter. Och kvällen därpå. Återkommer troligen i kommande utgåvor.
GAME ON
ADVANIA — KONTOT LEVER VIDARE
FILED UNDER: ZOMBIE ACCOUNTS · TALLINKSILJA · GRATISRESOR I TEORIN
En före detta medarbetare hörde av sig och meddelade att kontot på det tidigare jobbet fortfarande var aktivt. Det testades. Det fungerade.
“går bra för advania att offboarda mig. en ex-medarbetare hörde av sig och sa att mitt konto fortfarande var aktivt. testade det precis, och det var det”
Erfarenheten är inte unik. En annan i kanalen rapporterade att ett sommarjobbskonto på en rederi-koncern levde vidare i ett år efter avslut — fullt tillräckligt för att, rent teoretiskt, boka gratisresor över hela Östersjön. Möjligheten utnyttjades inte. Möjligheten existerade.
Bakgrunden till exoduset diskuterades parallellt. Lågkonjunktur, fyra omorganisationer på två år, freeriders som plötsligt måste visa siffror, och en tystare utrensning som började för ungefär ett år sedan. Den som hoppat av i tid beskriver de nya kollegorna med kontrasterande entusiasm:
“alla mina kollegor är superduktiga”
Inbjudan till 18-håls golfrunda och grill från det gamla bolaget noterades men föll inte i god jord. Tid är inte längre en resurs som spenderas på charm-offensiver från arbetsgivare i fritt fall.
VÄSTTRAFIK PÅ 28 MINUTER — CORS-LÖSHETEN ÄR EN GÅVA
FILED UNDER: REALTIDSKARTA · 3,8 MKR I SJÖN · LOCALHOST ONLY
Västtrafik har en officiell labbsida med fordonspositioner i realtid. Estetiken fick svalt mottagande:
“de har inte använt AI när de skapat den sidan kan man lugnt säga. satans tråkig”
Vid närmare granskning visade sig endpointen sakna CORS-restriktioner. Tjugoåtta minuter senare fanns en egen klientimplementation. Bedömningen av det offentliga alternativet:
“antar att västtrafiks version har säkert kostat 4 utvecklare 6 månader och 3,8 miljoner i skattepengar i sjön”
Skillnaden mellan offentlig sektors leveranstid och en vajbande kvällsession med Claude Max börjar närma sig fyra storleksordningar. Detta är inte ett påstående om mjukvarans kvalitet. Detta är en observation om tid till första pixel.
LOCALHOST WINS
CLAUDE MAX FORTSATT KING — ANTHROPIC DELAR UT CERTIFIKAT
FILED UNDER: SKILLJAR · CERTIFIERAD VIBE CODER · COPILOT FÖR REGEXP
Squeeze-temat fortsätter hålla. Claude Max för 90 USD/månad rapporteras fortfarande ligga under taket trots oavbruten användning. Andra verktyg används sparsamt:
“jag kör bara Claude sedan ett tag. har inte tid med alla andra skit-grejjer att bränna tokens med olika onödig loopar”
På jobbsidan körs Copilot via Zed med Opus 4.6 i sparsam regim — man vill fortfarande kunna sakerna. Regexp-frågor är dock inte längre föremål för manuell hantering:
“haha nä vem fan har tid att lära sig det”
Parallellt har Anthropic dragit igång certifieringshetsen. Gratis cert via Skilljar. Att bli formellt certifierad vibe coder var inte på bingobrickan för tolv månader sedan. Nu är det en URL.
Fortune fortsätter samtidigt rapportera att tokenkostnaderna äter Microsofts AI-marginaler levande. Konsensus i kanalen: kapitalets riktning vänder när börsnoteringarna kommit i hamn. Räkna ned.
CERT ME UP
DOMAINER MED DEEPSEEK — NÅGRA NAMN SOM SLOG UT
FILED UNDER: FOTMASSAGE.SE · OCD.SE · FITTAN.SE (NEKAD)
Domängeneratorn har bytt motor från OpenAI till Deepseek och fortsätter spotta ur sig förslag. Veckans urval landade i ungefär den nivå man kan förvänta sig från en torsdagskväll:
“ocd.se — bygga en webbsida med massor av CSS-alignment-fel”
Andra förslag inkluderade fotmassage.se som sidegigg, chatta.se av oklara skäl och fittan.se vilket snabbt nekades av interna skäl rörande både rättspatos och risk för att vibe-kodning ska eskalera åt fel håll utan tillsyn:
Den domänen är formellt struken från listan. Vidare diskussion avråds.
C64, AMIGA 500 OCH EN 486 SOM SÖG APA
FILED UNDER: KALIX · REM ÄR GOAT · 286 VAR EN BESVIKELSE
En annons i Kalix på en Amiga 2000 och en C64 satte igång minnesvandring i kanalen. En av regulars äger fortfarande sin kusins C64 — formellt “lånad” en gång i tiden, nu de facto införlivad i hushållet.
Det var dock Amigans överlägsenhet över tidig PC-hårdvara som blev kvällens huvudtes:
“Amiga 500 hade vi, förstod inte vad alla jiddrade med PC när 286or kom och sög verkligen apa”
På cykelfronten levererades parallellt evangeliet om remdrift:
“kommer aldrig köpa en cykel med kedja igen. rem är goat”
Tre begagnade Scott till ungarna inhandlade. Ekonomiappen som skulle hålla reda på allt sådant började byggas men spårade ur tidigt — vilket är den exakta livscykeln för alla ekonomiappar som någonsin påbörjats i kanalen.
╔══════════════════════╗
║ COMMODORE 64 ║
║ ▓▓▓▓▓▓▓▓▓▓▓▓▓▓ ║
║ READY. ║
║ _ ║
╚══════════════════════╝
38911 BASIC BYTES FREE
CARL BILDT, EPSTEIN OCH JOURNALISTKÅRENS NYA NIVÅ
FILED UNDER: 14 ÅR I SAMMA KOMMITTÉ · SMALL DOG · BAMSE-RÖSTEN
En av regulars byggde ett litet verktyg för att korsreferensera kommittémedlemskap och stötte på en detalj som inte gått ihop i den officiella tidningskommentaren:
“Carl Bildt säger att han aldrig träffade Jeffery Epstein, men de satt med i samma kommité 14 år. hur fan går det ihop”
Den nationella kvällspressens uppföljning bedömdes som otillräcklig:
“vad har vi journalister till idag? helt jävla värdelösa”
Redaktionen noterar att rollen som Bamse-röst inte automatiskt friskriver från övriga kommittéfrågor. Verktyget finns i en låda. Grävandet får bli en helgsysselsättning.
EBOLA-CENTER I VARNINGSSKOTTSDISTANS
FILED UNDER: HANTAVIRUS-CYKELN ÄR INTE SLUT · EBOLA2027 · LÖNETILLÄGG SUGGESTED
Förra veckans hantavirus-sjavu har fått sällskap. Polis tvingades avlossa varningsskott vid ett ebola-center. Inga detaljer från kanalen utöver den grundläggande löneprincipen:
“Ska fan ha bra betalt för att jobba på ebolacenter”
Hashtaggen #ebola2027 nämndes utan vidare kontext. Redaktionen tolkar det som en hedge mot förra utgåvans pandemi-spel. Polymarket-marknader söks fortfarande.
BIO-LAYER 2
EN 2-ÅRING, ETT FULGRÅT OCH 15 TIMMAR I SKOGEN
FILED UNDER: NYÅKER · NORDMALING · SÖKPATRULL
Den försvunna tvååringen i Nordmaling hittades vid liv efter femton timmar, något nedkyld, av en sökpatrull tjugo minuter gångväg från huset. Aftonbladet hann skriva en lång artikel om en lokal grupp som var ute och letade — och i sista stycket noterades att gruppen själv läst på internet att barnet hittats. Av någon annan.
“så inte ens Aftonbladet vet då antar jag”
SVT:s uppföljning bidrog med veckans språkliga upptäckt:
“fulgrät var ett nytt ord för mig”
Redaktionen noterar och arkiverar.
_______________________
| LOBOTOMIBUSSEN ~ ~ |
| __ __ __ | *ding*
| |__| |__| |__| |
|______________________|
(O)==================(O)