WEB board

[BLOCK4-SEC-010-FINAL | 2026-09-05 03:59Z / 09:29 IST | astra-security]
ДЛЯ ТИКЕТА SEC-010 [[WEB-526]], parent [[WEB-515]]. Правила WEB-449.
Состояние: Подтверждён latent framework config defect; текущий обход chat/video rate limiting не установлен.
Условие/file:line: src/lib/rateLimit/index.ts:32–40 при неизвестном nonempty RATE_LIMIT_STORE сохраняет неверный enum в kind и выбирает MemoryRateLimitStore, в том числе при NODE_ENV=production. Scoped source search не нашёл текущего src consumer enforceRateLimitPolicy. Chat/video используют другой expensive-operation admission.
Доказательство: Actual generic helper4pass плюс invalid-config red0pass/1fail (memory вместо postgres); actual admission guard4pass: repeated identity cap, provider concurrency/isolation, store error fail-closed, disabled no-op. Translation actual handlers2pass наблюдают direct seam до inert service; downstream behavior не измерено.
Фикс-предложение: Валидировать enum: неизвестное значение либо отклонять явно при config validation, либо сохранять production postgres default и выдавать точную диагностику. Red сейчас проверяет fallback-вариант; при выборе startup rejection обновить контракт теста. Отдельно проверить целую translation admission цепочку с inert provider до решения о named policy.
Severity/CVSS3.1=pending/not assigned; P2 engineering не severity. High/Critical не установлен. SEC008 — закрытая review-гипотеза, не подтверждённый дефект.
Что село: reports/evidence,3append-only specs; product fix/commit/deploy=none. /Users/poolpooly/audit/nc, l106-line6930c6832744e273ccad495caba9b31329761650; все7проверенных source roots clean.
Что осталось: /Users/poolpooly/audit/outbox/1943-limiter-config-contracts-brief.md опубликован, ROUTING:HOLD после старых эпиков; pickup новых пакетов не подтверждён. CONT-PROMPT-4 confirms1920–1922 HOLD A2;1900/1901/1912 hold preserved.
КАРТА ДОКУМЕНТОВ (M1): /Users/poolpooly/audit/reports/2026-09-05-limits-block4.md; /Users/poolpooly/audit/reports/2026-09-05-boundaries-block4.md; /Users/poolpooly/audit/evidence/block4/limits/; /Users/poolpooly/audit/evidence/block4/parent-validation.json, review-adjudication.md, git-final.json; /Users/poolpooly/Projects/nc-agent-ops/board/specs/SECURITY-FINDINGS-REGISTER.md, SECURITY-THREAT-MODEL.md, SECURITY-ATTACK-SURFACE.md.
TRANSFER: /Users/poolpooly/audit/outbox/1940-1943-boundary-evidence.tar.gz + .sha256; SHA256 9962193e085babff3339d2655f01b43a8169155efba3142a86a4f56842164f04;76members/75file hashes verified. Immutable snapshot before receipt.
KNOWN ISSUES / ТРАБЛШУТИНГ: Нет текущего user-visible effect, distributed bypass, real Postgres concurrency, provider/paid-egress/денежного эффекта. Admission opt-in EXPENSIVE_ADMISSION_ENABLED; live posture неизвестна. Первая сторона identity берётся из auth по source trace; новый самостоятельный user bucket — штатная семантика, не обход. Translation остаётся OPEN: отсутствие direct guard не доказывает отсутствие нижележащих SDK/egress/billing controls.
Общий итог15recorded final invocations125pass/4fail:2invariant reds,1WEB387 static assertion,1wallet stale equality. Не green product suite. Proxy11fail resolved as test-harness ESM loading issue; unchanged suite39/39 after own-tree dependency symlink. No product regression attributed.

[05.09 13:19Z координатор] Волна 1953 LIMITER-CONFIG-CONTRACTS (Claude opus, A2) = GO: SEC-010 подтверждён как латентный — src/lib/rateLimit/index.ts:33 присваивает невалидированный RATE_LIMIT_STORE, опечатка выбирает MemoryRateLimitStore даже в production (red-тест: ожидалось postgres, наблюдалось memory); новый sibling-дефект G — index.ts:36 логирует отклонённое значение («using redis» при memory), скрывая даунгрейд. Продуктового эффекта нет: 0 потребителей enforceRateLimitPolicy в src, env нигде не задан, middleware нет; чат/видео/подкаст/фактчек/deep-research защищены отдельным admission-механизмом. CVSS N/A. Фикс-волна 1995-ratelimitstorevalidate (M4, spark): whitelist + fail-closed в production + честный лог + тесты. Отчёт передан Астре (inbox).

[05.09 13:30Z координатор] Независимая адъюдикация SEC-010 (волна 1953, A2, LABEL=LIMITER-CONFIG-CONTRACTS): VERDICT=GO. Смысл GO: условие из пакета Астры воспроизведено на пинованной базе 6930c683 на синтетических фикстурах, трактовка подтверждена; это не приёмка релиза и не подтверждение эксплойта. fix_commit=none, роутинг HOLD, High/Critical не установлено. Отчёт: /home/ubuntu/waves/LIMITER-CONFIG-CONTRACTS-REPORT.md, артефакты /home/ubuntu/waves/artifacts-1953-*. Отчёт передан Астре в ~/audit/inbox (relay 13:29Z).

BLOCK9-LIMITER-ADJUDICATION — 2026-09-05T13:45:59.775393+00:00 / IST=2026-09-05T19:15:59.775402+05:30

SEC-010: подтверждён latent config defect, P2 hardening; CVSS 3.1=N/A при текущей недостижимости. rateLimit/index.ts:32–40 принимает неизвестный RATE_LIMIT_STORE как kind, выбирает memory и неверно сообщает отклонённое значение как используемое хранилище. Текущих src consumers enforceRateLimitPolicy не найдено; chat/video admission — другой механизм. Worker 41 тест: 39 pass / 2 intended invariant red, product fix_commit=none.

Координатор уже назвал 1995-ratelimitstorevalidate — второй fix пакет не создаю. Для маршрутизации P2 действует CONT9: Codex M4, MODEL=gpt-5.6-luna EFFORT=xhigh, ROUTING FIX; прежнее упоминание spark не является моей диспетчеризацией. Запуск не подтверждён.

Три группы приёмки:
1. Unset production → durable default; unset dev → memory; valid explicit values, whitespace/case normalization и memoization сохранены.
2. Invalid nonempty config: выбранное координатором production fail-closed должно отклонять конфигурацию до создания memory store; диагностировать фактический отказ. Старый red ожидал fallback postgres — обновить oracle под явно выбранный fail-closed контракт, сохранить проверку отсутствия silent memory downgrade. Для dev задать точный fallback/diagnostic контракт.
3. Не подключать латентный framework к routes в этом фиксе; существующий expensive-operation admission сохраняется. Translation admission — отдельная prerequisite-gated policy задача: 8/8 inert calls описывают поведение при включении, не доказанный paid egress bypass.

KNOWN ISSUES / ТРАБЛШУТИНГ: provider burst с mock не устанавливает денежный эффект, текущую production env не читали. Отчёт /Users/poolpooly/audit/inbox/done/LIMITER-CONFIG-CONTRACTS-REPORT.md; review /Users/poolpooly/audit/reports/2026-09-05-limiter-handoff-block9-review.md. Нужен exact fix SHA и actual production tests, не prototype.

[05.09 15:25Z координатор] Фикс SEC-010 (волна 1995, M4, luna): VERDICT=GO, commit 3dccc69b поверх l106 — whitelist RATE_LIMIT_STORE memory|postgres|redis, production с неизвестным значением = явный throw, development = warning + memory (печатает фактически выбранный store), redis = fixed-window с атомарным Lua INCR/PEXPIRE. Отчёт /Users/milamarty/waves/RATELIMITSTOREVALIDATE-REPORT.md. Приёмка: бриф 2035-accratelimitstore в очереди M4 (негатив на базе, регистр/пробелы, redis без URL, гонка Lua, граница окна, инвентарь чтений env). После GO → l111.

[05.09 17:23Z координатор] Приёмка 2035 (M4, luna): VERDICT=NO-GO на 3dccc69b. F-01 (blocker): production-исключение раскрывает фактическое значение RATE_LIMIT_STORE («Invalid RATE_LIMIT_STORE="bogus"»). F-03: redis без REDIS_URL не падает при разрешении store — первый consume уходит в бесконечные ECONNREFUSED к localhost:6379. Скоуп чист (3 файла, redis@6.2.1 уже был в базе). Отчёт /Users/milamarty/waves/ACCRATELIMITSTORE-REPORT.md. Круг 2: бриф 2044-ratelimitstore2 в очереди M4 (сообщение без значения env; throw при redis без REDIS_URL на этапе разрешения; ограниченный reconnect/таймаут, 503 вместо зависания).

[05.09 17:37Z координатор] Круг 2 (волна 2044 RATELIMITSTORE2, M4, luna): VERDICT=GO, commit abcf1dda поверх l106 (ветка sec/2044-ratelimitstore2, только src/lib/rateLimit/index.ts + storeSelection.test.ts): F-01 — production-ошибка без значения env; F-03 — redis без REDIS_URL падает при разрешении store, ограниченный reconnect/таймаут. Отчёт /Users/milamarty/waves/RATELIMITSTORE2-REPORT.md. Приёмка 2050 в очереди M4 (негативные тесты на F-01/F-03 обязательны).

[05.09 17:46Z координатор] Приёмка 2050 (M4, luna): F-01 CLOSED (production с неизвестным RATE_LIMIT_STORE бросает исключение без значения env), F-03 CLOSED (redis без REDIS_URL падает при разрешении store; отказавший Redis → 503, без fail-open и зависания). Формальный NO-GO только по F-02 — «граница fixed-window даёт двойную квоту»: это свойство самого fixed-window алгоритма, существовавшее на базе l106 до этого фикса, и мой критерий в брифе был буквальнее замысла тикета (SEC-010 = валидация конфигурации store). Решение координатора: SEC-010 закрыт по существу, коммиты 3dccc69b + abcf1dda идут в l111 (cherry-pick чистый, 11–12-й коммиты); F-02 (sliding window / token bucket на границе окна) — отдельный follow-up P3 в этом же тикете, не блокер. Статус → review до посадки. Отчёт /Users/milamarty/waves/ACCRATELIMITSTORE2-REPORT.md.

[2026-09-05 19:13Z] НА ПРОДЕ: линия l111b (a14181f77ba69013c7183d56dd23980d7c176f39) посажена 19:13Z без простоя (flip по одному бэкенду через контроллер), платный гейт проверен на dry-run до flip и на обоих бэкендах после. Статус → done; пост-QA l111 (волна 2067 на A1) идёт — при регрессии тикет переоткроется. hetzbk релиз l111-a14181f7 опубликован, Pi standby переводится.

cont14-postqa-web-526 — 2026-09-05T22:31:12.545436+00:00 / IST=2026-09-06T04:01:12.545443+05:30

2105 SECPOSTQA получен: VERDICT=PARTIAL, target900b773c7. Commit в линии по отчёту: 7548903c4 + 945f3386e; 3dccc69b not ancestor.

Limiter production configuration code present; journal window empty, actual store unproven.

ДЛЯ ТИКЕТА: статус доски сохранён; exact author SHA не равен cherry-pick SHA. Parent проверил report/hash, не запускал live-пробы. Общий2105 не является отдельной выполненной runtime-приёмкой каждого из11 контрактов. Full report в audit/evidence/block14/intake-originals/2105-SECPOSTQA-REPORT.md.

cont18-wave-2099-web-526 — 2026-09-06T10:09:56.144767+00:00 / IST=2026-09-06T15:39:56.144771+05:30

CONT18 fan-out: 2099 REVIEW, gpt-5.6-sol, priority NORMAL; задачи WEB-525, WEB-526.

BLOCK18 VERIFICATION PASS for board-done scopes on exact4c73. Parent source/test-presence review is complete; this job supplies focused actual behavior evidence and residuals. It is REVIEW only, not new implementation.

WEB-525 classification=VERIFIED_SOURCE_AND_TEST_PRESENT; mapped=6f9e880b79be7355710a28513da1a03e3b1b7d28. Source: src/app/api/export/pdf/[...path]/route.ts:32, src/app/api/export/pdf/[...path]/route.ts:76, src/lib/export/exportPdfAccess.ts:68. Tests: src/app/api/export/__tests__/aliveHardened.static.test.ts:45, src/lib/export/__tests__/exportPdfAccess.test.ts:13. Residual: Header/access code present; actual module-mock behavior not rerun.

WEB-526 classification=VERIFIED_SOURCE_AND_TEST_PRESENT; mapped=7548903c47b32d465ff646ac837f493ba27cbe1a +945f3386edfecf2a444c3cf2473f70bb22c0a058. Source: src/lib/rateLimit/index.ts:115, src/lib/rateLimit/index.ts:138. Tests: src/lib/rateLimit/__tests__/storeSelection.test.ts:38, src/lib/rateLimit/__tests__/storeSelection.test.ts:121. Residual: Invalid production store selection refuses; distributed runtime/env remains unverified.

Select the smallest actual existing tests covering the cited correction and ordinary refusal/success boundary. Do not run broad suites merely to increase counts, do not weaken failing assertions, and do not substitute standalone copied models. Policy-only WEB524/529/535 remains an explicit disposition, not a fictitious patch: validate the stated accepted contract and label stricter future policy separately. WEB528 validates committed floors/lock and historical advisory scope only, not current advisory completeness or exploitability; no network audit/install in this brief. WEB537 consumes2087 supplemental report when available and compares actual4c73 sourceChunkWriter/migration differences; old02812 results alone do not cover the new delta.

Бриф: /Users/poolpooly/audit/outbox/2099-l113d-verify-525-526-brief.md
SHA256 d277a082965af68a0dc209800d0cc9a30cbfccabc251506a2cadecfe5386fb8e
Статус: выдан в relay; запуск/результат не подтверждены. Назначенная база 4c73d8451a295af84603b1d20f66f88d5aa82a2e; l113d-line. Проверка текущего кода и prior-output dedupe обязательны. Координатор принимает пересекающиеся изменения и посадку.

block18-verdict-web-526 — 2026-09-06T10:15:25.065470+00:00 / IST=2026-09-06T15:45:25.065523+05:30

verified: код + тесты присутствуют на 4c73d8451a295af84603b1d20f66f88d5aa82a2e.

Source: src/lib/rateLimit/index.ts:115, src/lib/rateLimit/index.ts:138
Tests: src/lib/rateLimit/__tests__/storeSelection.test.ts:38, src/lib/rateLimit/__tests__/storeSelection.test.ts:121
Mapping: 7548903c47b32d465ff646ac837f493ba27cbe1a +945f3386edfecf2a444c3cf2473f70bb22c0a058
Residual: Invalid production store selection refuses; distributed runtime/env remains unverified.
Tests NOT_EXECUTED parent; actual behavior wave(s): 2099
Evidence: /Users/poolpooly/audit/evidence/block18/source-test-hashes.json
Checkpoint: /Users/poolpooly/audit/reports/block18-checkpoint.md
Board status не изменён; source/test presence и policy disposition не равны выполненной runtime-приёмке.

block19-l113d-verify-525-526-web-526 — 2026-09-06T14:18:20.841048+00:00 / IST=2026-09-06T19:48:20.841052+05:30

Правила обогащения: WEB-449. ДЛЯ ТИКЕТА / BLOCK19.

Вердикт: GO scoped; current source consistent.
Причина и текущая дельта: 52512/12 и5268/8 worker pass; все cited source/test files unchangedg. Нет новогоFIX; реальные распределённые/host факты отдельно.
База независимой source-сверки M1: 4c322c4606a1695fc896ecd6313842d55679b472; root /private/tmp/nc-block19-parent. Исходный header VERDICT=GO сохранён без изменения scope.

KNOWN ISSUES / ТРАБЛШУТИНГ: reportGO ограничен исполненными группами; INPUT-NO-GO не доказывает product failure; current source/hash bridge не заменяет runtime/DB/provider/host acceptance. Проверка: раздел provenance/raw counts исходного отчёта, source-hash-reconciliation.json и актуальный fanout-jobs.json. Лечение/следующий шаг: 52512/12 и5268/8 worker pass; все cited source/test files unchangedg. Нет новогоFIX; реальные распределённые/host факты отдельно.

КАРТА ДОКУМЕНТОВ: M1 /Users/poolpooly/audit/evidence/block19/intake-originals/CONT18-RELAY-3/L113D-VERIFY-525-526-REPORT.md
SHA256 c938ab8a15285cc82403c5bb3bee37013c701fe250aa7ab26f3cd1cc86d3c94c
M1 /Users/poolpooly/audit/evidence/block19/source-hash-reconciliation.json
M1 /Users/poolpooly/audit/reports/block19-checkpoint.md
M1 /Users/poolpooly/audit/evidence/block19/fanout-jobs.json

Board workflow/чужие поля не менялись. High — срочность сверки закрытия; новая числоваяCVSS не назначалась. Parent/reviewer тестов не запускали; результаты worker report-attested.

block21-wave-2140-web-526 — 2026-09-06T18:18:15.451464+00:00 / IST=2026-09-06T23:48:15.451470+05:30

Правила обогащения: WEB-449. ДЛЯ ТИКЕТА: BLOCK21 REVIEW, gpt-5.5, NORMAL.

Unverified done gate: src/lib/rateLimit/index.ts:115–151 validates production selection and creates Postgres/Redis stores; storeSelection.test.ts:38/121 and previous 8/8 verify selection, not two-process counters. Reconcile exact h config with actual selected implementation and run two local child processes sharing a disposable owned store. This is not host receipt2364 and does not change OAuth WEB-542 accepted process-local fixed-window policy.

Бриф M1 /Users/poolpooly/audit/outbox/2140-distributed-limiter-runtime-verification-brief.md; SHA256 b5fc65b54bb8db8c199049e069baa7fc5a7e5c065ba43ac4b870bdd0f99ea3bf. База l113h83683d4818ecc9b91e151be9e27a9ef0d6015294. Выдан в outbox, running не подтверждён.

KNOWN ISSUES / ТРАБЛШУТИНГ: old4c73 report verdict не равен currenth defect или runtime acceptance. Сначала current-source/candidate dedupe; no duplicate implementation. Три обязательные группы проверок в брифе; failed/skipped gates и owner/host dependencies сохранять явно. High — приоритет closure, CVSS не повышен. Документы M1 /Users/poolpooly/audit/evidence/block21/fanout-jobs.json; будущий отчёт worker ~/waves/BLOCK21-DISTRIBUTED-LIMITER-RUNTIME-VERIFICATION-REPORT.md

block22-wave-2154-web-526 — 2026-09-06T21:37:37.097067+00:00 / IST=2026-09-07T03:07:37.097077+05:30

ДЛЯ ТИКЕТА / BLOCK22 release closure. Bind index.ts:115–151 and Postgres store to new2140 real two-process proof; Redis was skipped.

Бриф /Users/poolpooly/audit/outbox/2154-limiter-store-post-l113j-closure-brief.md; SHA256 192b634ed5bb17baa42b7313dbd2020dda52700e7471284c2db80ea5a615661e. MODEL=gpt-5.6-sol, A2 cap11, M4 cap3 без автоматического переноса. WAITING_RELEASE_l113j: не запускать до полного deployed-SHA/artifact/backend receipt. Сейчас reportedprod i18f130938b8d2a8f4376811651ad21beb4e28838; M1 source checkout толькоh.

Три группы: exactrelease/source mapping; live: Fresh coordinator receipt identifies selected store class and shared DB/index/pool contract on both backends. No counter exhaustion, outage, env mutation or load probe.; companion: Reuse matching Postgres two-process evidence; if selected live store is Redis, require actual local Redis proof or name REDIS_UNVERIFIED. Invalid production selection must refuse; dev fallback preserved.

KNOWN ISSUES: sent≠running, code/authorGO≠liveclosure. При отсутствующем fix в j — NOT_DEPLOYED. Никаких paid/provider effects, реальных удалений/отказов сервиса. Existing2455/2450/2460/2462/2458 и старые работы не дублируются. Историческиеanchors src/lib/rateLimit/index.ts:115; src/lib/rateLimit/index.ts:138. Fullreport future /home/ubuntu/waves/BLOCK22-LIMITER-STORE-POST-L113J-CLOSURE-REPORT.md. Evidence M1 /Users/poolpooly/audit/evidence/block22/fanout-jobs.json; checkpoint /Users/poolpooly/audit/reports/block22-checkpoint.md. Статус тикета не менялся.

block22-block21-distributed-limiter-runtime-verification-web-526 — 2026-09-06T21:43:33.627635+00:00 / IST=2026-09-07T03:13:33.627668+05:30

ДЛЯ ТИКЕТА / BLOCK22, CONT19-RELAY-7.

Вердикт: GO independent local Postgres
Report header: GO
Report metadata: {"commit": "83683d4818ecc9b91e151be9e27a9ef0d6015294", "base": "83683d4818ecc9b91e151be9e27a9ef0d6015294", "fix_commit": "none"}
Связанные темы отчёта: WEB-526

Доказательство: productionselection,two-processsharedPG,outagerecovery/identitypolicy

KNOWN ISSUES / ТРАБЛШУТИНГ
Redis runtime notexecuted; hostselectedstore unknown.
Следующее действие: 2154 postjactualstoremetadata, requirelocalRedisproofonlyifselected.

Продуктовая посадка сейчас: l113i18f130938b8d2a8f4376811651ad21beb4e28838 по координатору и L113I8; предыдущие assembly ec5c/bad68 не равны prod. M1 физически располагает толькоh83683d48; i/j source/runtime bytes не проверены. Тесты из отчёта не выполнялись родителем/5reviewerGPT5.5. Bundle/rawархивы report-attested. Statusdone и authorGO не заменяют independent/liveGO. Чужие статусы не менялись; числовойCVSS не повышен.

Документ: /Users/poolpooly/audit/evidence/block22/intake-originals/BLOCK21-DISTRIBUTED-LIMITER-RUNTIME-VERIFICATION-REPORT.md
SHA256 bd3e6e96e1751ff8bce4068bb25775c5a2ca400308a4d2f014c278013b589e68
Реестр: /Users/poolpooly/audit/evidence/block22/ledger46.json
Checkpoint: /Users/poolpooly/audit/reports/block22-checkpoint.md.

ЭВОЛЮЦИЯ ЗА 12 Ч (гигиена 2609, 11:25Z 07.09)

ХРОНОЛОГИЯ КРУГОВ
- круг Block-22 → `46393080dd885f6ff25967f18639075564e12737`, `6f9e880b79be7355710a28513da1a03e3b1b7d28`, `4456bd6e866d6eba4020c3f008c42efad909e0b2` → VERDICT=NO-GO — **SEC-009 / WEB-525: NO-GO для полного post-l113j closure.** Причина: exact deployed l113j/source mapping подтверждён, local companion прошёл 11/11, но отсутствуют безопасный QA fixture/lease/identity и fresh scoped live receipt для обязательных authorized+guest наблюдений. Затронута только live/ownership доказательная часть; нового дефекта и Источник: `A1 waves/BLOCK22-PDF-HEADER-ACCESS-POST-L113J-CLOSURE-REPORT.md`.
- Линии посадки: l113j 22:56Z → l113k 00:41Z → l113l 05:30Z → l113m 06:33Z → l113n 07:48Z → l113o 09:35Z → l113p 10:21:43Z. Текущий PROD: l113p `1c850d92876757812eab9ffa7f381bcea95aad86`; общий verify — green по release receipt.

ДЛЯ НУЛЕВОГО АГЕНТА
- Board done; текущая линия l113p `1c850d92876757812eab9ffa7f381bcea95aad86`. Проверенные SHA: `46393080dd885f6ff25967f18639075564e12737`=предок; `6f9e880b79be7355710a28513da1a03e3b1b7d28`=предок; `4456bd6e866d6eba4020c3f008c42efad909e0b2`=НЕ предок. Новые отчёты не требуют переоткрытия при сохранении указанной scope-диспозиции.
- Следующий шаг / владелец: Нового product шага из выбранных отчётов нет; остаточные evidence/registry действия ведутся родительским эпиком.

KNOWN ISSUES / ТРАБЛШУТИНГ
- Дельта без домысла: **SEC-009 / WEB-525: NO-GO для полного post-l113j closure.** Причина: exact deployed l113j/source mapping подтверждён, local companion прошёл 11/11, но отсутствуют безопасный QA fixture/lease/identity и fresh scoped live receipt для обязательных authorized+guest наблюдений. Затронута только live/ownership доказательная часть; нового дефекта и Проверка/причина привязаны к отчётам выше; anchors: `src/app/api/export/pdf/[...path]/route.ts:32-46`, `src/lib/export/exportPdfAccess.ts:68-112`, `src/app/api/export/__tests__/aliveHardened.static.test.ts:45-52`, `src/lib/export/__tests__/exportPdfAccess.test.ts:13-99`. Лечение — только указанное в report disposition; отсутствующий live/receipt не объявляется продуктовой регрессией.

СВЯЗИ / ИСТОЧНИКИ
- Release: `M4 waves/L113P-RELEASE-RECEIPT.md`; координаторский срез: `M4 waves/OPS-STATUS-HEAD-1120.md`; точные отчёты перечислены в хронологии/KNOWN ISSUES.
- Если сегодняшняя карточка уже содержит более ранний coordinator-комментарий с тем же фактом, эта запись является только дельтой 2609 и не отменяет тот trail.