悪意あるnpmパッケージ「Tensorlake」、AWSキーやSSH認証情報、暗号資産ウォレットのデータを窃取
攻撃者が2026年10月8日、開発者のシークレットを盗み出し、連携するソフトウェアサプライチェーンを通じて拡散するよう設計されたマルウェアを仕込んだ、Tensorlake npmパッケージの改ざん版を公開しました。 影響を受けるのはリリース0.5.144で、Shai-Huludワームの亜種が含まれています。標的は、A
タグ: Aikido
公開されたGitLabプロジェクトのメールアドレスが、攻撃者によるコードのプッシュを可能にしていた
開発者がプロジェクトにイシューやタスクをプッシュできるようにする非公開のGitLabメールアドレスが、READMEやコントリビューションガイド、バグ報告用のサポートページに意図的に公開されているケースが見つかっています。 このアドレスは「Email work item to this project(このプロジェクト
phpBBフォーラム、10年間潜伏していた認証バイパスの脆弱性を修正
phpBBフォーラムソフトウェアで10年前から存在していた認証バイパスの脆弱性が発見されました。この脆弱性を悪用すると、攻撃者は管理者を含む任意のユーザーとしてログインできてしまいます。 この欠陥には識別子が割り当てられておらず、単一のHTTPリクエストだけで簡単に悪用できます。影響を受けるバージョンはphpBB 4
削除されたGoogle APIキーがGemini、BigQuery、Maps APIへのアクセスを継続
GoogleのAPIキー失効プロセスに重大な欠陥が存在し、削除された認証情報が最大23分間有効なままとなることが判明した。これにより、漏洩したキーを保持する攻撃者に悪用可能な時間的窓口が生まれている。 Google APIキーがGoogle Cloud Platform（GCP）コンソールから削除された際、UIには「
「より速く取り消す方法がなく、停止したことを確認する方法もない」：専門家がGoogleのAPIキーがまだ…を発見
Aikidoの研究者がGoogleのAPIキーは削除後最大23分間使用可能なままであることを発見成功率は試験によって異なり、Geminiが有効になっているプロジェクトは盗まれたファイルとキャッシュされた会話に特に脆弱Googleは問題を伝播遅延として却下していますが、Aikidoは削除を30分のウィンドウ