Attaques et vulnérabilités |
7-Zip répare RCE Flaw Exploitable avec les Archives Malicieuses (2 minutes de lecture)
Le populaire outil d'archive Windows 7-Zip a publié une mise à jour pour corriger une vulnérabilité de dépassement de buffer basée sur un tas qui pourrait être exploité par les attaquants pour réaliser l'exécution arbitraire de code. La vulnérabilité existe dans le traitement par 7-Zip des données compressées par XZ. 7-Zip n'a pas de fonctionnalité de mise à jour automatique, donc les utilisateurs devront télécharger manuellement la nouvelle version à mettre à jour.
|
Générateur de musique AI La rupture Suno affecte 55M utilisateurs, par Have I Been Pwned (1 minute de lecture)
Un hacker a volé des données sur environ 55,3 millions d'utilisateurs de Suno, y compris les noms, adresses postales et électroniques, numéros de téléphone, dossiers d'achat et numéros de carte partiels de Stripe avec les dates d'expiration. La violation a également révélé le code source de Suno montrant le grattage à grande échelle de musique et de paroles de grandes plateformes et a eu lieu en novembre 2025. Suno n'a pas encore avisé les utilisateurs touchés ou clairement divulgué l'incident.
|
|
Attaques de mix-up OAuth et RFC 9207: L'émetteur vérifie qu'il n'y a jamais eu d'échange de jetons (5 minutes lire)
WorkOS retrace l'attaque de mix-up OAuth (un client parlant à plusieurs serveurs d'autorisation se confond sur quel serveur a envoyé une réponse et achemine un code ou un jeton à la mauvaise) et comment RFC 9207's 2022 corriger, un paramètre iss que le client doit comparer à l'émetteur prévu et rejeter en cas d'absence, ne couvre que les flux de redirection et jamais étendu aux subventions back-channel. Cette lacune est ce que CVE-2026-59208 exploitait dans l'échange de jetons de n8n : le paramètre a confirmé que la signature d'un sujet token correspondait à une clé de confiance, mais n'a jamais confirmé que la clé appartenait à l'émetteur nommé dans la revendication de jetons, donc un jeton d'un locataire résolu à un compte du même nom dans un autre parce que la validation de la signature et la délimitation de l'espace de nom de compte étaient traitées comme des questions distinctes. Les défenseurs devraient faire respecter le côté client de la RFC 9207 (supprimer un iss manquant lorsque le serveur le prend en charge), les clés de signature de confiance de partition par émetteur plutôt que de les mettre en commun à travers les subventions de la RFC 8693/7523/7522, et les recherches de sous-compte de portée à l'espace de nom de l'émetteur confirmé, le seul contrôle qui aurait arrêté la CVE, traitant cela comme une première classe dans les architectures de MCP et d'agents où les topologies multi-émetteurs deviennent par défaut.
|
Nouvelle campagne nord-coréenne utilise de faux entretiens de codage pour voler les qualifications du développeur (9 minutes de lecture)
Elastic Security Labs a suivi une campagne Contagious Interview (REF9403) dans laquelle des acteurs alignés sur la RPDC ont posté de fausses offres d'emploi dans des canaux de développement Slack, déplacé des cibles vers des DM, et livré des repos de « défi de codage » du commerce électronique qui ont réassemblé des morceaux de charge utile Base64 cachés dans les images du drapeau SVG via la stéganographie, puis les ont exécutés avec eval() à chaque démarrage du serveur. La charge utile en quatre étapes OTTERCOOKIE-aligned combine un titre de navigateur et un vol de portefeuille crypto, un vol de fichiers récursifs, un socket. IO RAT, et un voleur de presse-papiers, s'infiltrant dans la largeur droite[.]dev sous-domaines et IPs 195.26.248[.]212 et 188.40.64[.]61, avec zéro détection AV au moment de l'écriture. Les défenseurs devraient traiter les tests de codage non sollicités à la maison comme hostiles, les exécuter uniquement dans des VM isolés, chasser pour node.exe frai cmd.exe/powershell.exe avec Get-Clipboard, et bloquer les domaines C2 énumérés. Les techniques MITRE comprennent T1027.003 (Stéganographie), Clipboard Data, et les lettres de créances des magasins de mots de passe.
|
Exploiter les courtiers paient 500 000 $ pour un Wordpress Rce. J'en ai trouvé un avec Gpt5.6 Sol Ultra Et 25 $ (18 minutes lire)
Un chercheur a utilisé GPT5.6 Sol Ultra pour trouver une injection SQL pré-auth dans l'API batch de WordPress, abusant d'un desync de validation et d'un filtre auteur dangereux pour accéder à la base de données. En enchainant l'empoisonnement cache, en intégrant la manipulation et en personnalisant les messages changeset, l'attaque passe de SQLi à des privilèges d'administration temporaires. Il abuse alors des hooks WordPress, en particulier parse request, pour rejouer la requête batch en tant qu'administrateur et créer un nouveau compte administrateur, permettant RCE basé sur plugin sur les installs WordPress par défaut.
|
|
Tarit (GitHub Repo)
Tarit est une plate-forme microVM à base de Rust/rust-vmm qui booste des bacs à sable en millisecondes pour les agents d'IA et les charges de travail RL, en jumelant un hyperviseur à un processus parVM minimal avec un orchestre multinoeud offrant des piscines chaudes, des instantanés en direct, des suspensions/restaurations, un système d'évacuation per-VM permettant la sélection et un accès PTY.
|
EventLogExpert (Repo GitHub)
EventLogExpert est un visionneur Windows Event Log construit par Microsoft qui fournit une interface de type Wireshark pour la visualisation des fichiers evtx.
|
Chimère (GitHub Repo)
Chimera est un bac à sable utilisateur pour l'exécution de code non fiable qui ne nécessite pas de VM, conteneur, ou les fonctionnalités du noyau.
|
|
Benchmarking 13 modèles d'IA sur la redécouverte des CVE connus (7 minutes de lecture)
Aikido a dirigé 13 modèles de fournisseurs OpenAI, Anthropic, xAI, Google et open-weight contre 26 CVEs GitHub-advisory connus à l'intérieur de son harnais d'analyse de code AI de production (pass@3, modèle pointé sur l'extrait vulnérable), et a trouvé que GPT-5.6 topead rappel à 23/26 (88,5 %) avec Kimi K3 le liant, grok-4.5 à 20, et les modèles Claude Opus à 15 à 18. Le résultat opérationnel utile est la variance : des bugs manquants à un seul parcours d'autres parcours capturent, donc mettre en commun trois passes d'un modèle bon marché bat un pass d'un vaisseau amiral, avec trois pistes gpt-5,4-nano atteignant 18/26 pour environ 170 $ contre une seule passe amiral, et claude-haiku-4-5 oscillant de 7 à 13 sur la même tâche. Le plafond de capacité est le raisonnement, et non les puits: chaque modèle a trouvé à la fois des bogues critiques et des failles évidentes d'injection/désactivation, mais seulement GPT-5.5 et les variantes GPT-5.6 les plus fortes ont tracé une injection SQL indirecte par l'intermédiaire d'un alias de colonne ORM non échappé, de sorte que les défenseurs devraient regrouper plusieurs tours moins chers et traiter le harnais, et non le niveau de modèle brut, comme la variable qui vise le raisonnement au bon code.
|
Google annonce Gemini 3.6 Flash et cybersécurité AI, teases 3.5 Pro et Gemini 4 (3 minutes de lecture)
Google remplace Gemini 3.5 Flash par 3.6 Flash, ce qui améliore les scores de codage DeepSWE, ajoute une utilisation informatique intégrée, réduit l'utilisation du jeton d'environ 17 pour cent et réduit le prix du jeton de sortie. Gemini 3.5 Flash Lite permet des réponses plus rapides à la recherche et à l'application, tandis que le nouveau modèle Flash Cyber 3.5 fonctionne à l'intérieur de l'agent CodeMender de DeepMind pour les partenaires et les gouvernements sélectionnés pour trouver et corriger les vulnérabilités, en restant hors de la large diffusion publique.
|
|
iPhone hacker cabinet poursuit ex-travailleur sur le prétendu vol de secrets (2 minutes de lecture)
Magnet Forensics a poursuivi l'ancien ingénieur d'exploitation iOS Mario Del Gaudio et son rival Paradigm Shift Technology en Géorgie, alléguant que Del Gaudio a aidé à révéler une journée zéro dans les puces A12 et A13 d'Apple (que Magnet a vendues à des clients gouvernementaux pour débloquer des iPhones) sur le blog de Paradigm, détruisant sa valeur en alertant Apple à une correction potentielle.
|
|
Aimer TLDR ? Dites à vos amis et obtenez des récompenses!
| Partagez votre lien de référence ci-dessous avec des amis pour obtenir gratuitement TLDR swag!
| | |
| Suivez vos références ici. |
Gérer vos abonnements à nos autres newsletters sur la technologie, les startups et la programmation. Ou si TLDR Sécurité de l'information n'est pas pour vous, s'il vous plaît désabonnement.
|
|
|
|
CORTEX