The week: Supabase stops exposing new tables, Brotli exploited, Mistral Large 4 weights
สรุปสัปดาห์ 26 ตุลาคม: Supabase เลิกเปิดตารางใหม่ให้ API อัตโนมัติ, Brotli เข้ารายชื่อช่องโหว่ที่ถูกโจมตีจริง, Mistral Large 4 ปล่อยเวต
Six notes this week: a faster DeepSeek, a cap for Lovable's agent tools, Magento PolyShell, GitHub's US$50 default, Thai tokens, link cards. Plus four outside changes that reach a builder's app this month.
Link cards: each Mastodon server fetches your page, Bluesky freezes the card
การ์ดลิงก์: Mastodon ทุกเซิร์ฟเวอร์ดึงหน้าเว็บเอง ส่วน Bluesky เก็บการ์ดไว้ในโพสต์ตายตัว
Mastodon 4.7.4 reads only the first 1 MB of raw HTML, only og:image, and shows a wide picture only when it is wider than tall. Bluesky copies the card into the post once. What each needs, with three curl checks.
Same text, Thai or English: 1.46 times the tokens on DeepSeek, 2.94 times on GLM-5.3
ข้อความเดียวกัน ภาษาไทยใช้โทเคนมากกว่าภาษาอังกฤษ 1.46 เท่าบน DeepSeek และ 2.94 เท่าบน GLM-5.3
We sent the same eight shop messages in English, Thai and Chinese to six open models on Workers AI. Thai took 1.46 times the English tokens on DeepSeek and 2.94 times on GLM, enough to change which model is cheapest.
GitHub Agentic Workflows: the default spending cap is US$50 a day per workflow
GitHub Agentic Workflows: เพดานค่าใช้จ่ายตั้งต้นคือ 50 ดอลลาร์ต่อวัน ต่อหนึ่งเวิร์กโฟลว์
GitHub Agentic Workflows reached general availability on 28 October 2026. The agent job gets no write access to your repository, but a workflow with no cap of its own may spend up to US$10 a run and US$50 a day on AI.
Magento PolyShell joins CISA's exploited list, seven months after the first attacks
ช่องโหว่ PolyShell ของ Magento เข้ารายชื่อช่องโหว่ที่ถูกโจมตีจริงของ CISA หลังการโจมตีครั้งแรก 7 เดือน
CVE-2026-48356 lets anyone upload a PHP file to a Magento store through the guest cart. Attacks began in March; the fix for 2.4.8 and older came in July; CISA listed it on 27 October. Four checks find a break-in.
Lovable's agent tools have no rate limit: a Postgres cap that also stops double writes
เครื่องมือเอเจนต์ของ Lovable ไม่มีการจำกัดจำนวนครั้ง: ตัวจำกัดใน Postgres ที่กันการเขียนซ้ำได้ด้วย
Lovable's docs say its agent tools have no rate limit or call quota and no call log. A Postgres function caps calls per user, records each call, and turns a retried write into a no-op. Tested 27 October 2026.
DeepSeek Flash 1017 on Workers AI: 40% faster than 0731, 23% more tokens, same bill
DeepSeek V4.1 Flash 1017 บน Workers AI: เร็วกว่า 0731 ราว 40% ใช้โทเคนมากขึ้น 23% ค่าใช้จ่ายเท่าเดิม
DeepSeek says its 17 October update writes shorter answers. On 10 builder tasks run 3 times each on Workers AI, 1017 finished in 40% less time than V4 Flash 0731 but wrote 23% more tokens; the lower price kept the bill level.
16,326 Supabase databases let anyone read their tables: check yours in two minutes
ฐานข้อมูล Supabase 16,326 แห่งเปิดให้ใครก็อ่านตารางได้ ตรวจแอปของคุณเองใน 2 นาที
UpGuard counted 16,326 Supabase databases where anyone with the public key can read the tables. This note shows a two-minute check for your project, the SQL that closes the hole, and what Supabase changes on 30 October 2026.
PHP2Shell: PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 fix two flaws that let attackers run code
PHP2Shell: PHP 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 ปิดช่องโหว่สั่งรันโค้ดจากระยะไกล 2 รายการ
Two PHP flaws, CVE-2026-109618 and CVE-2026-109619, let an outsider run code on a web server without logging in. PHP released fixes on 21 October 2026. Attacks began on 17 October. Updated servers also need a restart.
One workflow, 30,000 runs a month: Zapier US$1,149, Make US$116, Cloudflare Workers US$5
เวิร์กโฟลว์รับออเดอร์เดียวกัน 30,000 รอบต่อเดือน: Zapier 1,149 ดอลลาร์ Make 116 ดอลลาร์ Cloudflare Workers 5 ดอลลาร์
Zapier charges per action, Make per module, n8n per run. One order workflow at 30,000 runs a month costs US$1,149 on Zapier, US$116.47 on Make, €144 on n8n and US$5 as code on Cloudflare Workers. Prices as of 24 October 2026.