博客 · 第 2 页
关于工程、设计与一些随手记录。
Node.js 11 月 11 日发安全版本：26、24、22 三条线全标 HIGH，而且现在还不知道 CVE 编号
官方提前一周贴出预告：本周三（11 月 11 日）为 26.x、24.x、22.x 同时发布修复，三条线最高等级都是 HIGH。没有细节，也没有编号——这恰好是运维最该行动的时刻。
Ollama 0.40.15：小米的 9B 代码模型进了库，还有一套只会回答「是/否/打分」的 AutoTrust
mimo-v2.6 是给代码和 agent 工作流准备的 9B 模型，一行命令就能拉；同一版还引入 AutoTrust 决策模型族（9b / 35b / 27b-vl），专门回答你给的那一个问题。
pnpm 12.18 开始管 agent skill 的链接：装个包，.claude/skills 里就多一个目录
这个版本把「依赖包自带的 agent skills」当成一等公民：链接名按 skill 本身命名、冲突时自动加前缀、install 时可逐个批准；另外加了 pnpm store add 支持离线安装。
Prometheus 3.16：查询开始报「代价」了，anchored 与 smoothed 选择器正式转正
3.16 把查询代价估算做成可选特性：能预估、能上报实际开销、能设执行上限；另外 anchored/smoothed 选择器从实验转稳定，实验 search 接口把 batch_size 卡在 1000。
Tailwind 4.3.5 修的全是「用久了才会遇到」的问题：color-mix 崩、WASM 卡死、几千个变体变慢
这个补丁版本没有新特性，但每一条都很具体：没有插值方式的 color-mix 不再崩、oxide 的 WASI 构建不再永久挂起、matchVariant 里几千个取值不再拖慢规范化。
Traefik 3.7.17 修了一个 CVSS 7.5 的洞：未认证的 Negotiate/NTLM 头就能把后端连接槽位耗光
GHSA-xv5x-242w-7hf7：从 3.7.14 起，带 NTLM/Negotiate 的 Authorization 头会让 Traefik 提前占用一条后端连接且不回收，匿名用户批量短连接即可耗光资源。