洪 民憙 (Hong Minhee)

Hello! I'm Hong Minhee (洪 民憙), an open source software engineer in my late 30s, living in Seoul, Korea. I'm bisexual and non-binary (they/them), and an enthusiastic advocate of free/open source software and the fediverse.

I work full-time on @fedify, an ActivityPub server framework in TypeScript, funded by @sovtechfund. I'm also the creator of @hollo, a single-user ActivityPub microblog; @botkit, an ActivityPub bot framework; Hackers' Pub, a fediverse platform for software developers; and LogTape, a logging library for JavaScript and TypeScript.

I have a long interest in East Asian languages (CJK) and Unicode. I post mostly in English here, though occasionally in Japanese or in mixed-script Korean (國漢文混用體), a traditional writing style that interleaves Chinese characters with the native Korean alphabet. Wanting to write in that style was actually one of the reasons I joined the fediverse. Feel free to talk to me in English, Korean, Japanese, or even Literary Chinese!

#introduction

はじめまして！ソウル在住の30代後半のオープンソースソフトウェアエンジニア、洪 民憙（ホン・ミンヒ）と申します。バイセクシュアル（bisexual）・ノンバイナリー（non-binary）で、自由・オープンソースソフトウェア（F/OSS）とフェディバース（fediverse）の熱烈な支持者です。

STF（@sovtechfund）の支援を受け、TypeScript用ActivityPubサーバーフレームワーク「@fedify」の開発に専念しています。他にも、おひとり様向けのActivityPubマイクロブログ「@hollo」、ActivityPubボットフレームワーク「@botkit」、ソフトウェア開発者向けフェディバースプラットフォームHackers' Pub、JavaScript・TypeScript用ロギングライブラリLogTapeなどの制作者でもあります。

東アジア言語（いわゆるCJK）とUnicodeにも興味があります。このアカウントでは主に英語で投稿していますが、時々日本語や国漢文混用体（漢字ハングル混じり文）の韓国語でも書いています。実はこの文体で書きたくてフェディバースを始めた、という経緯もあります。日本語、英語、韓国語、漢文でも気軽に話しかけてください！

#自己紹介

安寧(안녕)하세요! 저는 서울에 살고 있는 30代(대) 後半(후반)의 오픈 소스 소프트웨어 엔지니어 洪民憙(홍민희)입니다. 兩性愛者(양성애자)(bisexual)이자 논바이너리(non-binary)이며, 自由(자유)·오픈 소스 소프트웨어(F/OSS)와 聯合宇宙(연합우주)(fediverse)의 熱烈(열렬)한 支持者(지지자)이기도 합니다.

STF(@sovtechfund)의 支援(지원)을 받아 TypeScript用(용) ActivityPub 서버 프레임워크 @fedify 開發(개발)에 專業(전업)으로 任(임)하고 있습니다. 그 外(외)에도 싱글 유저用(용) ActivityPub 마이크로블로그 @hollo, ActivityPub 봇 프레임워크 @botkit, 소프트웨어 開發者(개발자)를 위한 聯合宇宙(연합우주) 플랫폼 Hackers' Pub, JavaScript·TypeScript用(용) 로깅 라이브러리 LogTape 等(등)의 製作者(제작자)이기도 합니다.

東(동)아시아 言語(언어)(이른바 CJK)와 Unicode에도 關心(관심)이 많습니다. 이 計定(계정)에서는 主(주)로 英語(영어)로 포스팅하지만, 때때로 日本語(일본어)나 國漢文混用體(국한문 혼용체) 韓國語(한국어)로도 씁니다. 聯合宇宙(연합우주)에 오게 된 動機(동기) 中(중) 하나가 바로 國漢文混用體(국한문 혼용체)로 글을 쓰고 싶었기 때문이기도 하고요. 韓國語(한국어), 英語(영어), 日本語(일본어), 아니면 漢文(한문)으로도 말을 걸어주세요!

#툿친소 #연친소 #별친소 #자기소개

@everclear 어라, 왜 그럴까요? Phanpy 언어 설정은 브라우저에 저장되는 것으로 알고 있어요. 🤔

요즘 뭔가 코딩이 좀 귀찮다.

아, 그리고 韓國(한국) 聯合宇宙(연합우주) 開發者(개발자) 모임도 있으니 聯合宇宙(연합우주)와 관련된 코딩이나 文書化(문서화)·飜譯(번역) 等(등)에 關心(관심) 있으신 분들은 參與(참여) 바랍니다! 主(주)로 Discord 서버에서 活動(활동)하고, 가끔 온·오프라인으로 스프린트도 進行(진행)합니다.

New: Last Week in #Fediverse - ep 100 (!)

This week's news:
- massive growth for @pixelfed, growing from 20k active users last month to almost 200k active users currently.
- @nodebb has officially launched their #activitypub integration
- Meta will not commit or confirm a timeline for adding account migration to #threads

Thank you to everyone for reading and supporting 100 editions of Last Week in Fediverse!

Read at: https://fediversereport.com/last-week-in-fediverse-ep-100/

git log --since "2024-01-01" --until "2025-01-01"

https://deno.com/blog/deno-in-2024

#deno #nodejs #typescript #javascript #webdev

山(산)을 부르는 여러 漢字(한자). 基本的(기본적)으로 中國語(중국어)에서의 用例(용례)지만, 韓國語(한국어)에서도 通(통)하는 바가 있어 옮겨 본다.

• 巒(만): 連(연)이어진 山(산). 元來(원래)는 「란」이라고 읽어야 함.
• 嶽(악): 큰 山(산). 岳(악)이라고도 씀.
• 峰(봉): 높고 가파른 山(산). 韓國語(한국어)로는 그냥 봉우리.
• 嶂(장): 屛障(병장)처럼 똑바로 선 山(산)봉우리.
• 崮(崮): 四面(사면)이 가파르고 頂上部(정상부)가 平平(평평)한 山(산). 崓(崓)라고도 씀.
• 丘(구): 작은 土山(토산).
• 岑(잠): 작지만 뾰족하게 높은 山(산).
• 岡(강): 높이 솟은 土斜面(토사면). 崗(강)이라고도 씀.
• 陵(능): 큰 흙 언덕. 임금의 무덤도 陵(능)이라고 함.
• 嶺(영): 頂上(정상)에 길이 있는 山(산)이나 큰 山脈(산맥). 岭(영)이라고도 씀.
• 岵(호): 草木(초목)이 많은 山(산).
• 屺(기): 草木(초목)이 없는 山(산).
• 岨(저): 흙이 둘러진 石山(석산). 砠(砠)라고도 씀.

韓國語(한국어)에서 자주 쓰는 건 嶽(악), 峰(봉), 丘(구), 岡(강), 陵(능), 嶺(영)… 程度(정도)려나?

We have restored federation support for pixelfed.social

IG Import, Embeds and Account Migration are still temporarily disabled due to their resource requirements.

What's a higher priority for #BotKit?

以前、Mastodon専用に言語統計を分析するスクリプトを作った事が有るが、今はHolloを使うので使えなく成った。

https://codeberg.org/hongminhee/mastodon-lang-stats

私の様に英語、韓国語、日本語を同時に使うアカウントでは、notestockで投稿の言語統計が出ると面白いかも知れない。

#notestock

Pixelfedの旗艦サーバ、人増えすぎで連合もまともに機能しないってさ。そりゃそうだ。適度に分散しようね。

Phanpyの課題トラッカーに関連する課題が有るには有る。

https://github.com/cheeaun/phanpy/issues/598

Holloで絵文字リアクションをサポートしているのに、Phanpyでは絵文字リアクションを見る事しかサポートしていない為、絵文字リアクションをあまり送らない事に成る。

Let's impeach Donald Trump by making impeaching the president a global trend.

If you are a #fediverse admin running libraries on #Fedify keep an eye on this: https://nvd.nist.gov/vuln/detail/CVE-2025-23221

この件に関連して、Holloもセキュリティアップデートをリリースしました。0.3.6または0.4.4バージョンに今すぐアップデートしてください！

https://hollo.social/@fedify/0194848e-7cac-7af3-941b-c93999a51274

#Hollo #セキュリティ #セキュリティアップデート

이와 관련하여, #Hollo 역시 #보안 업데이트가 이뤄졌습니다. 0.3.6 또는 0.4.4 버전으로 바로 업데이트하시기 바랍니다!

https://hollo.social/@fedify/0194848b-3b9e-7da1-b631-c011db2f4c43

In related news, #Hollo has also released #security updates: 0.3.6 & 0.4.4. Update now!

https://hollo.social/@fedify/01948487-87b2-709d-953f-8799b78433ed

@liaizon Oh, thanks for asking on my behalf!

FedifyのWebFinger実装における脆弱性CVE-2025-23221に対するセキュリティアップデート（1.0.14、1.1.11、1.2.11、1.3.4）をリリースいたしました。すべてのユーザー様におかれましては、お使いのバージョンに応じた最新版への速やかなアップデートを推奨いたします。

脆弱性の詳細

セキュリティ研究者により、FedifyのlookupWebFinger()関数において以下のセキュリティ上の問題が発見されました：

• 無限リダイレクトループによるサービス拒否攻撃（DoS）の可能性
• プライベートネットワークアドレスへのリダイレクトを利用したSSRF（サーバーサイドリクエストフォージェリ）攻撃の可能性
• リダイレクト操作による意図しないURLスキームへのアクセスの可能性

修正されたバージョン

• 1.3.xシリーズ：1.3.4へアップデート
• 1.2.xシリーズ：1.2.11へアップデート
• 1.1.xシリーズ：1.1.11へアップデート
• 1.0.xシリーズ：1.0.14へアップデート

変更内容

本セキュリティアップデートでは、以下の修正が実施されました：

1. 無限リダイレクトループを防ぐため、最大リダイレクト回数（5回）の制限を導入
2. 元のリクエストと同じスキーム（HTTP/HTTPS）のみにリダイレクトを制限
3. SSRFを防止するため、プライベートネットワークアドレスへのリダイレクトをブロック

アップデート方法

以下のコマンドで最新のセキュアバージョンにアップデートできます：

# npmユーザーの場合
npm update @fedify/fedify

# Denoユーザーの場合
deno add jsr:@fedify/fedify

この脆弱性を責任を持って報告していただいたセキュリティ研究者の方に感謝申し上げます。迅速な対応が可能となりました。

本脆弱性の詳細については、セキュリティ勧告をご参照ください。

ご質問やご懸念がございましたら、GitHub Discussions、Matrixチャットスペース、またはDiscordサーバーまでお気軽にご連絡ください。

#Fedify #WebFinger #セキュリティ #脆弱性 #DoS #SSRF

#Fedify 프레임워크의 #WebFinger 구현에서 발견된 보안 취약점 CVE-2025-23221을 해결하기 위한 보안 업데이트(1.0.14, 1.1.11, 1.2.11, 1.3.4)를 배포했습니다. 모든 사용자께서는 각자 사용 중인 버전에 해당하는 최신 버전으로 즉시 업데이트하시기를 권장합니다.

취약점 내용

보안 연구자가 Fedify의 lookupWebFinger() 함수에서 다음과 같은 보안 문제점들을 발견했습니다:

• 무한 리다이렉트 루프를 통한 서비스 거부 공격 가능
• 내부 네트워크 주소로의 리다이렉트를 통한 SSRF (서버측 요청 위조) 공격 가능
• 리다이렉트 조작을 통한 의도하지 않은 URL 스킴 접근 가능

수정된 버전

• 1.3.x 시리즈: 1.3.4로 업데이트
• 1.2.x 시리즈: 1.2.11로 업데이트
• 1.1.x 시리즈: 1.1.11로 업데이트
• 1.0.x 시리즈: 1.0.14로 업데이트

변경 사항

이번 보안 업데이트에는 다음과 같은 수정 사항이 포함되어 있습니다:

1. 무한 리다이렉트 루프를 방지하기 위해 최대 리다이렉트 횟수 제한(5회) 도입
2. 원래 요청과 동일한 스킴(HTTP/HTTPS)으로만 리다이렉트 허용하도록 제한
3. SSRF 공격 방지를 위해 내부 네트워크 주소로의 리다이렉트 차단

업데이트 방법

다음 명령어로 최신 보안 버전으로 업데이트하실 수 있습니다:

# npm 사용자의 경우
npm update @fedify/fedify

# Deno 사용자의 경우
deno add jsr:@fedify/fedify

이 취약점을 책임감 있게 보고해 주신 보안 연구자께 감사드립니다. 덕분에 신속하게 문제를 해결할 수 있었습니다.

이 취약점에 대한 자세한 내용은 보안 권고문을 참고해 주시기 바랍니다.

문의 사항이나 우려 사항이 있으시다면 GitHub Discussions나 Matrix 채팅방, 또는 Discord 서버를 통해 언제든 연락해 주시기 바랍니다.

#보안 #보안패치 #취약점 #SSRF

We have released #security updates (1.0.14, 1.1.11, 1.2.11, 1.3.4) to address CVE-2025-23221, a #vulnerability in #Fedify's #WebFinger implementation. We recommend all users update to the latest version of their respective release series immediately.

The Vulnerability

A security researcher identified multiple security issues in Fedify's lookupWebFinger() function that could be exploited to:

• Perform denial of service attacks through infinite redirect loops
• Execute server-side request forgery (#SSRF) attacks via redirects to private network addresses
• Access unintended URL schemes through redirect manipulation

Fixed Versions

• 1.3.x series: Update to 1.3.4
• 1.2.x series: Update to 1.2.11
• 1.1.x series: Update to 1.1.11
• 1.0.x series: Update to 1.0.14

Changes

The security updates implement the following fixes:

1. Added a maximum redirect limit (5) to prevent infinite redirect loops
2. Restricted redirects to only follow the same scheme as the original request (HTTP/HTTPS)
3. Blocked redirects to private network addresses to prevent SSRF attacks

How to Update

To update to the latest secure version:

# For npm users
npm update @fedify/fedify

# For Deno users
deno add jsr:@fedify/fedify

We thank the security researcher who responsibly disclosed this vulnerability, allowing us to address these issues promptly.

For more details about this vulnerability, please refer to our security advisory.

If you have any questions or concerns, please don't hesitate to reach out through our GitHub Discussions, join our Matrix chat space, or our Discord server.

Holloちょっとおもしろそうねのだ
https://docs.hollo.social/ja/

@mina Corporations love to use military terms, and I also find them quite gross. I don't want to be part of the task force, and sit in the war room.

Stop trying to overcompensate and get that broomstick out of your arse.

＞BT
その場でAccept/Rejectを決められない場合がありそうなので、2番目に投票した（followRequestをどこかに保存しておき、後でAccept/Rejectを呼び出すイメージ）。1番目だとその場で決めなければならない。

@dansup I'm trying to fetch Activity Streams objects from pixelfed.social, but it always respond with an HTML even if I make a request with Accept: application/activity+json. Am I wrong something?

$ curl -H 'Accept: application/activity+json' https://pixelfed.social/users/dansup
<!DOCTYPE html>
<html>
    <head>
        <meta charset="UTF-8" />
        <meta http-equiv="refresh" content="0;url='https://pixelfed.social/dansup'" />

        <title>Redirecting to https://pixelfed.social/dansup</title>
    </head>
    <body>
        Redirecting to <a href="https://pixelfed.social/dansup">https://pixelfed.social/dansup</a>.
    </body>
</html>

We are designing an API to support manual accept/reject of follow requests in #BotKit. Which of the below two approaches seems better?

Returning true or false in the onFollow event

bot.onFollow = async (session, follower) => {
  // Accept follows requests from non-bot accounts:
  return follower instanceof Person;
};

Accepting a followRequest object as the third parameter in the onFollow event and calling the accept() or reject() method

bot.onFollow = async (session, follower, followRequest) => {
  // Accept follows requests from non-bot accounts:
  if (follower instanceof Person) await followRequest.accept();
  else await followRequest.reject();
};

お昼ご飯で辛いトマト拉麺！

Want to build your own #ActivityPub implementation, but don't know where to start? Read and follow #Fedify's official tutorial, Creating your own federated microblog, and get started!

@cheeaun That's unintended! I'm looking into it!