⚡️ Что такое Blind XSS и как она работает Blind XSS (слепая межсайтовая скриптовая уязвимость) - это подвид хранимой (Stored) XSS. Её главная особенность: вредоносный JavaScript-код внедряется на одном ресурсе, а срабатывает в совершенно другом интерфейсе (часто внутреннем или административном), к которому у самого атакующего нет прямого доступа. Механизм уязвимости - Внедрение: Атакующий отправляет вредоносный скрипт через общедоступные формы, данные из которых сохраняются в систему. - Входной точкой могут быть поля обратной связи, тикеты техподдержки, имена при регистрации или даже HTTP-заголовки (например, User-Agent), если они записываются в логи. - Ожидание: Скрипт находится в базе данных в пассивном состоянии. Атакующий не получает мгновенного ответа от сервера и не знает, сработает ли его payload. Исполнение: Внутренний пользователь (администратор, модератор, сотрудник службы безопасности) открывает свою панель управления для проверки логов или тикетов. Если административное приложение выводит сохраненные данные в браузер без предварительной очистки, внедренный JavaScript-код выполняется в контексте сессии этого сотрудника. 🛠 Особенности тестирования Поскольку атакующий не видит админку и результат выполнения кода, стандартные методы вроде alert(1)здесь не работают. Для поиска Blind XSS применяются Out-of-Band (OOB) техники: - Внутрь payload закладывается логика отправки скрытого запроса на внешний хост, контролируемый тестировщиком. - Для автоматизации используются специализированные платформы (например, XSS Hunter или Interactsh). - Факт уязвимости подтверждается только тогда, когда на внешний сервер приходит обратный вызов (callback). Вместе с ним обычно передаются данные о внутреннем окружении: URL скрытой панели управления, DOM-структура страницы, IP-адрес и сессионные маркеры. 🛡 Способы защиты - Контекстное экранирование на выводе: Административные панели и системы работы с логами должны обрабатывать поступающие из базы данные так же строго, как и внешние. Все спецсимволы HTML должны преобразовываться в безопасные сущности перед рендерингом страницы. - Строгая политика CSP (Content Security Policy): Настройка политик во внутренних интерфейсах, запрещающая выполнение инлайновых скриптов и ограничивающая отправку запросов на неизвестные внешние домены. - Флаг HttpOnly для сессионных кук: Защита идентификаторов сессии от чтения через JavaScript, что предотвращает их кражу даже в случае успешного выполнения XSS. Привет!

Новая главная метрика продукта — «время до ценности» 1. Навскидку неочевидно, но самое главное свойство продукта — насколько быстро и просто новый пользователь сможет получить первую ценность от него после регистрации. 2. Немаловажно, что это должно включать в себя ещё и время на понимание того, в чём эта ценность может для конкретного пользователя состоять 😉 3. Если он не сможет быстро и просто это осознать и получить ценность — считай, что он для тебя потерян. Потому что у 99% пользователей 99% продуктов не возникнет желания с этим дальше разбираться 🤷🏻‍♂️ 4. Так что первая ценность продукта даже важнее его конечного результата. Потому что до конечного результата пользователь может просто не дожить 🤣 5. Причём время до получения первой ценности новым пользователем в идеальном случае должно измеряться минутами ⏱️ Для совсем сложных продуктов — максимум часами. Если нет — то по нынешним временем это уже не «быстро и просто». 6. А какую ценность и за какое время твой новый пользователь сможет осознать и получить? Не «узнать», не «посмотреть», не «ввести» — а именно получить для себя то, что он может назвать первой полученной от продукта ценностью! 7. Кстати, стоит заметить, что это уже выделяют в отдельную важную метрику продукта — «Time To Value». А ты эту метрику у себя уже считаешь по своим пользователям? А каким образом? 🔥 Бери идеи ценностей, которые можно добавить к своему продукту — из моих обзоров интересных стартапов и трендов на https://fastfounder.ru/news

Новый дроп в опенсорс от Сбера: выложили токенизатор KVAE-Audio Фундаментально эта модель решает давнюю проблему обучения диффузионных систем. Им требуется максимально качественное сжатое представление данных, от которого напрямую зависит верхний предел возможностей создания нового контента. Разработчики закрыли эту потребность, представив третью часть семейства KVAE. Ранее команда уже публиковала схожие алгоритмы для работы с видео и картинками, а теперь очередь дошла до аудио формата. Система способна переваривать треки на частоте 48 кГц, охватывая весь спектр человеческого слуха. Во время обработки алгоритм уплотняет временную шкалу в 960 раз. На выходе получается сверхкомпактное пространство, состоящее из 64 каналов. Такие скромные размерности сильно упрощают жизнь при тренировке генеративных архитектур. Главный инженерный вызов здесь заключался в адаптации выходных данных именно под диффузию. Классические подходы часто показывают отличные цифры при воссоздании исходного аудио, но плохо справляются с созданием оригинального материала. Чтобы сбалансировать результаты в обеих задачах, авторы применили уникальный метод регуляризации. Если посмотреть на бенчмарки, новинка уверенно обходит MMAudio от Sony абсолютно по всем фронтам. При сравнении с DACVAE от Meta и SAME-L от Stability AI разработка выигрывает в качестве генерации и держит паритет в реконструкции, при этом обладая значительно меньшим весом. Код и веса под свободной лицензией MIT уже лежат на GitHub и Hugging Face. Habr

На моё интервью с братьями Либерманами три недели назад прилетел страйк. Жалобу кинули крипто-пирамидчики. Жалоба прилетела из-за нарушения авторских прав от канала без видео на нём. Довести дело до страйка на YouTube непросто, надо обладать железобетонной доказухой. А это интервью из Zoom, без вставок чужих видео и музыки. Самый что ни на есть оригинальный контент. Страйк повесили на канал за вот эту фотографию. Страйк очень опасен для канала. Три страйка и канал сносят без возможности восстановления. Кто изображён на видео? Это серийные сетевики. Знаете, да, как есть серийные предприниматели, только это серийные участники пирамидосов. За их плечами участие в первых рядах почти всех крупных понци-схем последнего десятилетия. Финико, Kriptofuture, МММ-2011 и т. д. Пиздаболы слева направо: Игорь Бондаренко, Дмитрий Разумовский, Алексей Воскресенский, Сергей Дроздовский. Пиявки присосались к gonka.ai и выстраивают пирамидальную структуру вокруг проекта братьев Либерманов. Вот здесь подробный материал про них с разбором скам-схемы. Они якобы объединяют людей в пулы, чтобы вместе скидываться на аренду оборудования. Фокус идёт на привлечение новых участников: чем больше привлёк, тем больше выплат получаешь. Скорее всего, никакого арендованного оборудования нет, деньги старым участникам какое-то время будут выплачиваться из новых поступлений, а в один момент выплаты прекратятся. Страйк отбил, там долгая процедура. Сначала пришлось доказать ютубу, что контент оригинальный, а фото я показал в журналистских целях, чтобы уведомить аудиторию о потенциальной мошеннической схеме. Затем у пирамидчиков был 10-дневный период, чтобы подать на меня иск в американский суд. Чего, конечно же, сделано не было. Бесит, конечно, что у ютуба такой хрупкий механизм подачи жалоб, из-за которого очевидно авторский контент блокируется на несколько недель.

Открыли первые страницы докладов ProductSense'26 ✌ Программа ещё собирается, но с некоторыми темами уже можно познакомиться поближе. Если коротко, то вот о чем точно будем говорить на конференции: ⏩ Как ИИ переписывает роли и процессы в командах ⏩ Как находить свой рынок и растить даже зрелый продукт ⏩ Как прокачивать само продуктовое мышление. А теперь подробнее о докладах и мастер-классах. «Продуктовый руководитель в эпоху ИИ-агентов: от исполнения — к решениям» Спикер: Дмитрий Казаков Что можно отдать ИИ-агентам, что нельзя, и какие навыки руководителя становятся критичными, когда работа смещается от «делаю руками» к «настраиваю систему». «Что ИИ ломает в продуктовой команде и почему старые роли больше не работают» Спикер: Андрей Южаков Когда один человек выдаёт больше, чем раньше делала целая цепочка специалистов, привычное разделение ролей становится неактуальным — разбираем, как перестроить команду под новую скорость. «Как не промахнуться с новым продуктом: шаги и метрики для поиска своего рынка» Спикер: Диляра Бутковская Какие метрики показывают живой спрос, а не просто интерес, и как по ним точно вписать продукт в рынок. «Ставка на рост: как перестроить продуктовый процесс в зрелом продукте» Спикер: Галина Ширанкова Что делать, когда сильной идеи и точечных улучшений уже мало, — на примере Историй «ВКонтакте» о том, как кратно ускорить рост в зрелом продукте. «Трансформация продуктовой работы: как сохранить эффективность при рыночных изменениях» Спикер: Евгений Васильев Как вовремя заметить, что автономия команд перестала работать, и перестроить процессы и зоны ответственности под новую реальность. «За пределами глубинных интервью: количественная сегментация для продуктовых команд» (мастер-класс) Спикер: Алена Киселева Интервью показывают запросы пользователей, но не их масштаб. Разберем, как количественная сегментация подсказывает, на кого делать ставку. «Проклятие опыта: как эволюционировать из эксперта в исследователя» (мастер-класс) Спикер: Дарья Маткина Практика про главный навык сильного продуктолога — отделять факт от интерпретации и предположения. Скоро опубликуем больше тем и спикеров, следите за новостями 👀 @productsense

Тройной экзит в новую жизнь Вы одновременно: • Продаёте бизнес • Получаете топ-роль в бигтехе • Узнаёте, что беременны (мужчины, выберите альтернативу) А потом просыпаетесь, и поздравляю — вы Даша. У которой сейчас натурально дизрапт-сезон: бизнес интегрируется в бигтех, нужно применять роль руководителя в стратегии и корпдева Т-банка, но с оглядкой на надвигающееся материнство. Мне такое представить сложно, поэтому я в шоке читаю, как Даша обо всём этом рассказывает. Спокойно так, буднично, без героизма. Что особенно меня вдохновляет: — Пост про кайф от нового и сложного. Буквально неделю назад писал про правильную сложность, которая так важна для тех, кто делает бизнес в технологиях. — Серия постов о решении продать бизнес, начните с первого и дальше найдётесь, настоящий сериал! — Пост про "нежный и пушистый танк" как аллегория спокойного управления хаосом Оказывается так бывает и так можно было. Этот пост — напоминалка для тех, кто застрял в пузыре и слишком давно развивается линейно. Рекомендую.

Всё что вы хотели знать о новой приблуде стима — Personal Calendar: почему он гораздо эффективнее старого Popular Upcoming Valve подняла порог входа в Popular Upcoming с привычных ~7000 вишлистов почти до 100 000 — и инди-сообщество впало в панику. Но почти одновременно появился персональный календарь релизов, который показывает игру подходящей аудитории за два месяца до выхода и ещё месяц после. Крис Зуковски собрал первые цифры и запилил большую статью, а у меня чисто выжимка. Что реально даёт Personal Calendar: - Раньше Popular Upcoming приносил около 1000 вишлистов в день и держал игру 1–2 дня. Personal Calendar даёт 300–3000 в день и работает два месяца до релиза плюс месяц после. - Разработчик Don't Let It Starve вошёл в окно релиза с 5930 вишлистами — календарь поднял их до 11 630. - Главное не охват, а качество показов. Focus Grove: Popular Upcoming — 1 297 384 показа, CTR 0,81%, 10 538 переходов; Personal Calendar — всего 79 820 показов, но CTR 33,83% и 27 001 переход. - Starforged Legacy — та же картина: Popular Upcoming 704 226 показов / CTR 1,56% / 10 985 переходов против Personal Calendar 105 413 показов / CTR 31,26% / 32 952 перехода. По показам падение выглядит катастрофой, по переходам — рост. - Порог входа в календарь по ранней прикидке: примерно 8000–30 000 вишлистов. В выборке Зуковски 30-й перцентиль — около 8000 вишлистов, медиана — около 28 000, 70-й — около 66 000. - Игры из раннего доступа тоже попадают: связка ранний доступ -> 1.0 показывается в календаре, то есть такая игра теоретически может висеть там до полугода. Контраст со старым миром простой: Popular Upcoming заваливал показами всех подряд, Personal Calendar показывает игру тем, кто и так предрасположен к жанру. Поэтому показов меньше, а переходов и вишлистов больше — Valve последовательно делает витрину персональной. И это классический ход Valve: они подсматривают хаки разработчиков (мы годами выжимали из десяти слотов Popular Upcoming подобие календаря) и превращают их в официальный инструмент получше. Чо по выводам: - Ставьте дату релиза за два месяца и не двигайте её — большинство выставляют слишком поздно и теряют недели на витрине. - Поднимайте страницу в Steam рано и собирайте вишлисты как раньше: ориентир ~7000+ никуда не делся. - В эти два месяца тестируйте капсулы и теги (буквально по неделям), смотрите, в скольких календарях вы появляетесь. - Не делайте ранний доступ только ради календаря — для первой игры он по-прежнему чаще лишний. - Никаких теневых релизов (внезапный выход без анонса). Вы платите Valve 30%, в том числе за такие инструменты, — глупо ими не пользоваться.

Единственное или множественное? Разговор о банальном, но важном. Ловите шпаргалку из 10 слов, в которых мы чаще всего ставим лишние «-s» или забываем их. 🚫 ТОП-10 слов, к которым НЕЛЬЗЯ добавлять «-s» (они неисчисляемые): 1️⃣ Information (информация) — никаких informations! 2️⃣ Equipment (оборудование) — только equipment. 3️⃣ Advice (совет) — хотите дать совет? Скажите a piece of advice. 4️⃣ Feedback (обратная связь) — feedbacks не существует. 5️⃣ Knowledge (знания) — у нас знания (мн.ч.), у них — knowledge (ед.ч.). 6️⃣ News (новости) — выглядит как множественное, но это ед.ч.: The news IS good. 7️⃣ Research (исследования) — research is, а не are. 8️⃣ Evidence (доказательства) — только evidence. 9️⃣ Progress (прогресс) — никаких progresses. 🔟 Furniture / Luggage (мебель/багаж) — классика, о которой часто забывают. Отдельная каста: слова-хамелеоны Data (данные). В академическом английском это мн. число (от datum). Но в современном бизнесе правило одно: The data shows (ед. ч.). Так говорят все, и это норма. Staff (персонал). В США скажут The staff is... (ед.ч.), а в Великобритании The staff are... (мн.ч.). Оба варианта верны! Money (деньги). Всегда ед.ч. Money is. Sales (продажи). А вот тут наоборот — всегда мн.ч. Sales are up. Коллеги, признавайтесь, какое из этих слов вы раньше использовали во множественном числе? Делитесь в комментах ! 👇 Единственное или множественное? Разговор о банальном, но важном. Ловите шпаргалку из 10 слов, в которых мы чаще всего ставим лишние «-s» или забываем их. 🚫 ТОП-10 слов, к которым НЕЛЬЗЯ добавлять «-s» (они неисчисляемые): 1️⃣ Information (информация) — никаких informations! 2️⃣ Equipment (оборудование) — только equipment. 3️⃣ Advice (совет) — хотите дать совет? Скажите a piece of advice. 4️⃣ Feedback (обратная связь) — feedbacks не существует. 5️⃣ Knowledge (знания) — у нас знания (мн.ч.), у них — knowledge (ед.ч.). 6️⃣ News (новости) — выглядит как множественное, но это ед.ч.: The news IS good. 7️⃣ Research (исследования) — research is, а не are. 8️⃣ Evidence (доказательства) — только evidence. 9️⃣ Progress (прогресс) — никаких progresses. 🔟 Furniture / Luggage (мебель/багаж) — классика, о которой часто забывают. Отдельная каста: слова-хамелеоны Data (данные). В академическом английском это мн. число (от datum). Но в современном бизнесе правило одно: The data shows (ед. ч.). Так говорят все, и это норма. Staff (персонал). В США скажут The staff is... (ед.ч.), а в Великобритании The staff are... (мн.ч.). Оба варианта верны! Money (деньги). Всегда ед.ч. Money is. Sales (продажи). А вот тут наоборот — всегда мн.ч. Sales are up. _______ 👍 — спасибо за напоминание 🔥 — уже так практикую 🗿 — есть парочка косяков за мной #tipoftheday #vocabulary

Новый обновленный гайд по Steam - STEAMиздат Гайд версия 2.0, та самая база знаний для инди которую я делал еще кажется в 2025 году.. https://steam-izdat.github.io/?new Я перевел сайт с notion на гитхаб, по множеству причин - я задолбался платить за подписку notion 12$ в месяц просто за возможность короткого поддомена (да эта фича платная), а также github позволяет контрибьютить и легче обновлять все через git. Но это не все! Я перелопатил всю информацию со старого гайда, удалил устаревшую инфу, выгрузил историю чата steam-издата из ТГ за 2026 год, чтобы перепроверить кучу информации, получить актуальную информацию. Связался с некоторыми участниками сообщества напрямую, чтобы выяснить как вести дела из некоторых стран. В старом гайде было много устаревшей информации, некоторых неточностей по продвижению, по легализации и банкам, по работе со Steam-ом. Дизайн сайта постарался приблизить к дизайну STEAM, информацию перепроверял через несколько разных источников, включая перечитывание чата и поиск инфы по чату стим-издата. Конечно это все не вручную, использовал клод код, без него на это все у меня ушли бы месяц работы и я бы не осилил скорее всего. Еще я добавил несколько полезных калькуляторов в гайд, так просто идея пришла добавить полезных тулов. Сайт структурно был переработан так, чтобы быстрее и точнее отвечать на вопросы инди. Сделано это было через анализ истории чата ТГ (какие вопросы задавали, что чаще спрашивали и т.п.). Если заметите где-то ошибки, неточности обязательно пишите здесь или в сообществе Стим-издата. 👉 https://steam-izdat.github.io/?new

Есть одна важная штука, почему на стратсессии приглашают внешнего ментора. Взгляд новичка и мышление новичка часто оказываются самым ценным ресурсом на сессиях, потому что он видит вещи, которые все остальные принимают как должное. Так много людей боятся показаться глупыми, что мир переполнен важными вопросами, которые так никогда и не были заданы. Вопросы вроде: «Можете ли вы дать определение нашей бизнес-модели? Зачем мы это делаем?» Готовность быть «профессиональным идиотом» часто делает вас самым ценным человеком в комнате. И часто выясняется, что бизнес-модель, которая кормила компанию 10 лет, уже полгода как умерла, просто никто не решался произнести это вслух. «Глупые» вопросы часто обнажают фундаментальные проблемы. Например Коммерческий директор не может спросить: «Подождите, а в чем именно уникальность нашего продукта?» , потому что коллеги посмотрят на него как на сумасшедшего: «Ты три года этим торгуешь и не знаешь?». Внешний ментор обладает «лицензией на глупость». Ему можно не знать. И когда он с невинным видом спрашивает: «Коллеги, я человек со стороны, объясните на пальцах, зачем клиенту покупать именно у вас?», в комнате часто повисает тишина. Оказывается, что у пяти топов - пять абсолютно разных ответов. @real_julia_bilinkis напишите, я возьму на себя роль такого человека))

🤝 Как мы пересобрали найм с помощью ИИшки и закрываем на 30% больше вакансий тем же составом рекрутеров   HR это одна из сфер, которая оч сильно выигрывает от прихода ИИ. Человеческий контакт и эмпатию ничто не заменит, а вот ручную рутину уже сейчас можно отдать машинке: в среднем, согласно исследованиям, рекрутер сжигает на сорсинге (поиске резюмешек) и скрининге (их отсеивании) 60–70% рабочего времени в неделю, это около 26-30 часов.   1. Автоматизировали сорсинг в Claude Cowork   Поиск кандидатов - это самая геморная часть рекрутинга. Обычно под это держат отдельную касту сорсеров, которые целыми днями копают резюмешки на HH, Indeed, JobStreet и других аналогах. Мы запустили Claude Cowork, (это автономный агент Клода, который может управлять вашим компьютером: открывать файлы, ходить по вкладкам браузера и т.д), дали ему доступ к браузеру и нашему аккаунту на HH, и он ищет кандидатов сам: открывает выдачу, отбирает чубзиков по критериям и складывает самых подходящих в отдельную табличку   Важный подводный камень: на старте Клод работает как джун (иногда даже туповатый джун), поэтому ему надо давать очень много корректирующей обратной связи + задавать очень чёткие критерии поиска. Первую неделю это скорее стажёр, которого обучаешь и хороводишь, чем готовый сорсер, а вот со второй-третьей недели начинается реально эффективный перформанс   2. Делаем продающую презу под каждую вакансию   К найму надо относиться так же, как к продажам, а большинство рекрутеров про продажу вакансии забывают вообще нафиг Классический рекрутер: пульнул в кандидата текстовый файл с описанием вакансии, потом закинул тестовое, ушел по своим делам и спустя неделю удивляется, почему 40% кандидатов не сделали тестовое и пропали с радаров Да потому что, блин, вакансию вы им не продали))   Поэтому под каждую позицию мы собираем короткую презу: детальное описание компании и миссии истории успеха сильных людей в команде инфа о том, сколько зарабатывают топы детальное описание пользы продукта для клиентов По нашим данным это поднимает конверсию до финального этапа примерно в два раза. Собрать такую презу можно за 30–40 минут прямо в клодкоде или в клоддизайне с учетом всех ваших бренд-гайдов разумеется   Еще супер-важно писать кандидатам супер-персонализированные сообщения, которые подчеркивают, какие они крутые и почему только им под силу решить вашу задачку   3. Завайбкодили свою HR CRM уровня Huntflow   В рамках отказа от зоопарка платных подписок собрали с клодкодом свою CRM-ку под найм. Какие метрики отслеживаем:   - скорость найма - количество касаний до выхода человека - все ключевые этапы воронки и конверсию из этапа в этап - бутылочные горлышки на каждом шаге   Следующий шаг - это определить стоимость найма: все сервисы, зарплата рекрутера, аутрич, делённые на количество закрытых позиций. Оч важно относиться к воронке найма также как к маркетинговой: отслеживать все этапы, максимально качественно продавать вашему клиенту (кандидату) переход на следующий этап и быстро деблокировать отвалы. Всем крутых кандидатов, ребзя! 🎧 Шерьте пост с командой и уже в четверг, 2 июля, в 17 по Европе / 18 по Москве приходите на наш живой эфир. Расскажем всё про использование ИИ в маркетинге в 2026: как тестировать креативы, как делать исследования, собирать воронки за 5 минут и экономить до 30% бюджета - будет только мясо🔥 Регистрируйтесь по ссылке

🏦 Греф: высокая ставка "переохладила" экономику России По словам главы Сбера, реальные процентные ставки сейчас находятся на уровне около 10%, что допустимо лишь как краткосрочная мера для охлаждения экономики. Греф считает, что экономика уже «переохлаждена», поэтому Банк России должен перейти к снижению ставки. Он отметил, что часть инфляционных факторов носит нерыночный характер, и бороться с ними исключительно с помощью жесткой денежно-кредитной политики неэффективно. Глава Сбера добавил, что высокая стоимость заимствований уже оказывает давление на экономику: инвестиции сократились более чем на 14%. В этих условиях, считает Греф, вместо сохранения высокой ставки необходимо смягчать денежно-кредитную политику, чтобы поддержать экономический рост. 📍 Подписаться на канал | Мы в MAX