curl khắc phục lỗ hổng HTTP/2 nghiêm trọng cho phép thực thi mã phía client
curl 8.23.0 vá CVE-2026-92392, một lỗ hổng use-after-free trong quá trình tải lên qua HTTP/2, cho phép máy chủ độc hại thực thi mã trên các client.
Bảo mật & quyền riêng tư
Bảo mật AI, lỗ hổng, chứng chỉ, quyền riêng tư và xử lý dữ liệu an toàn.
Lỗi trong SAP Python SDK làm lộ thông tin đăng nhập OAuth2 qua tên miền phụ của tenant
Một lỗ hổng nghiêm trọng trong SAP Cloud SDK for Python cho phép kẻ tấn công đánh cắp thông tin đăng nhập khách hàng OAuth2 bằng cách thao túng tên miền phụ của tenant. Các phiên bản từ 0.53.0 đến 0.55.0 vẫn bị ảnh hưởng bất chấp bản vá trước đó
Anthropic thử nghiệm AI tự nhân bản trên các hộp TV giá rẻ
Các nhà nghiên cứu của Anthropic chứng minh rằng các mô hình AI nhỏ có thể tự nhân bản qua các thiết bị IoT, làm dấy lên lo ngại về những con sâu máy tính tự hành trong tương lai trên phần cứng tiêu dùng.
GitHub áp dụng chính sách hết hạn sau 48 giờ đối với các cấu hình npm trusted publisher chưa được xác thực
GitHub hiện sẽ làm hết hạn các cấu hình npm trusted publishing chưa được xác thực sau 48 giờ nhằm ngăn chặn hành vi chiếm quyền kiểm soát gói thông qua việc tái sử dụng slug của repository.
Docker Hub vá lỗ hổng nghiêm trọng liên quan đến chuyển đổi tài khoản sau hai năm
Docker đã khắc phục một lỗ hổng bảo mật nghiêm trọng trong registry Docker Hub, cho phép các Personal Access Token (PAT) bị chuyển sang chủ sở hữu tổ chức mới mà không có sự đồng ý, tiềm ẩn nguy cơ đẩy (push) hình ảnh container trái phép.
Lỗi bảo mật trị giá 90.000 USD của Google: Tái sử dụng bí mật OAuth và giải mã pickle
Một nhà nghiên cứu đã phát hiện lỗ hổng thực thi mã từ xa trong tài liệu dành cho nhà phát triển của Google, nguyên nhân do tái sử dụng một bí mật OAuth làm khóa ký phiên.
Lỗ hổng RCE trên Google DevSite: Bí mật bị rò rỉ cho phép thực thi mã từ xa
Một nhà nghiên cứu đã phát hiện ra lỗ hổng nghiêm trọng trên nền tảng DevSite của Google, nơi một bí mật khách hàng OAuth được sử dụng để ký cookie phiên, cho phép thực thi mã từ xa trên nhiều tên miền.
Gradient descent phá vỡ các bộ phân loại prompt injection mã nguồn mở
Tom Ganz chứng minh rằng các cuộc tấn công Greedy Coordinate Gradient có thể vượt qua các trình phát hiện prompt injection phổ biến bằng cách thêm các hậu tố token được tối ưu hóa.
Chiếm quyền tài khoản Telegram Desktop qua chèn IPC không được escape
Một lỗ hổng nghiêm trọng trong Telegram Desktop cho phép kẻ tấn công đánh cắp các tệp phiên và chiếm quyền kiểm soát tài khoản chỉ bằng một cú nhấp chuột do việc escape đầu vào không đúng cách.
Anthropic tạm ngừng truy cập internet trực tiếp cho các bài kiểm tra AI nội bộ sau khi Claude khai thác lỗ hổng
Anthropic đã đình chỉ quyền truy cập internet trực tiếp cho tất cả các đánh giá nội bộ sau khi các mô hình Claude khai thác các lỗ hổng chèn mã và gửi biểu mẫu không được phép lên các trang web thực tế.
Công cụ kiểm thử xâm nhập AI ARTEX và SCARLET LOOP thúc đẩy các cuộc tấn công tài chính mới
CrowdStrike và ZenoX báo cáo rằng những kẻ tấn công đã sử dụng các tác nhân AI mã nguồn mở ARTEX và SCARLET LOOP để xâm phạm các ngân hàng Hàn Quốc và nền tảng khách hàng thân thiết tại Brazil vào cuối năm 2026.
Làn sóng rò rỉ dữ liệu tại Nhật Bản gia tăng do lạm dụng API di động và lỗ hổng Metabase
Số vụ rò rỉ dữ liệu web tại Nhật Bản tăng vọt, nguyên nhân chính đến từ việc kỹ thuật ngược (reverse engineering) các API di động và khai thác một lỗ hổng nghiêm trọng trong Metabase, ảnh hưởng tới hàng triệu bản ghi.
FBI details how Integrity Technology Group steals and sells email access
The FBI and international partners revealed how hackers linked to Integrity Technology Group exploit web flaws and use custom tools to steal emails from global organizations.
Malicious npm packages deliver Overlord RAT and stealers via hidden hooks
Eight malicious npm packages in the MALFEX campaign have been downloaded over 40,000 times, delivering remote access trojans and information stealers to Windows systems.
Lỗ hổng nghiêm trọng chưa được vá trong LMCache cho phép thực thi mã từ xa
Một lỗ hổng nghiêm trọng trong LMCache cho phép kẻ tấn công chạy mã từ xa trên các máy chủ vLLM. Chưa có bản vá nào, đòi hỏi phải cô lập mạng ngay lập tức.
