очень странный пост, как таковой rce я не вижу. не пытаюсь выгородить экстеру, но просто пост реально странный. и читается как просто слегка отредактированный выхлоп клода. мх.
скачивание обновлений из канала – так делают примерно все форки, и там не нужно никакие подписи проверять на уровне приложения, потому что андроид просто откажется ставить .apk с неправильной подписью. и can_not_skip тоже есть у почти всех форков. ни разу не видела чтобы он использовался, но он тоже не ставит обновления в фоне, просто не дает пользоваться приложением без обновления. любое приложение с встроенным автоапдейтером – rce, получается?
в случае с рантаймом плагинов отчасти валидно, впрочем. но как бы он и так и так кусок рандомного натива.
вырезание ризонинга тоже странный поинт, это дефолтная практика для моделей/провайдеров которые зачем-то ее пихают в основной вывод
сандбоксинга в плагинах и правда нет и вроде с этим не собираются ничего делать. by design, как говорится.
дев сервер в проде - как будто фича? ну, чтобы можно было писать плагины в вскоде и они сразу аплоадились на телефон. "плагин может его включить" - а зачем ему это? он и так в процессе гоняется и может все что угодно делать.
обфускация кринж, конечно, особенно после сообщений что "у нас ее нет", но хрен бы с ней.
очень странный пост, как таковой rce я не вижу. не пытаюсь выгородить экстеру, но просто пост реально странный. и читается как просто слегка отредактированный выхлоп клода. мх.
скачивание обновлений из канала – так делают примерно все форки, и там не нужно никакие подписи проверять на уровне приложения, потому что андроид просто откажется ставить .apk с неправильной подписью.
и
can_not_skipтоже есть у почти всех форков. ни разу не видела чтобы он использовался, но он тоже не ставит обновления в фоне, просто не дает пользоваться приложением без обновления.любое приложение с встроенным автоапдейтером – rce, получается?
в случае с рантаймом плагинов отчасти валидно, впрочем. но как бы он и так и так кусок рандомного натива.
вырезание ризонинга тоже странный поинт, это дефолтная практика для моделей/провайдеров которые зачем-то ее пихают в основной вывод
сандбоксинга в плагинах и правда нет и вроде с этим не собираются ничего делать. by design, как говорится.
дев сервер в проде - как будто фича? ну, чтобы можно было писать плагины в вскоде и они сразу аплоадились на телефон. "плагин может его включить" - а зачем ему это? он и так в процессе гоняется и может все что угодно делать.
обфускация кринж, конечно, особенно после сообщений что "у нас ее нет", но хрен бы с ней.