Google DevSiteの脆弱性、リモートコード実行を許す恐れ
Googleの開発者向けサーバーで、攻撃者がサインインしなくてもコードを実行させられる状態になっていました。セキュリティ研究者のSimon Köck氏は、GoogleのDevSiteプラットフォームに認証用シークレットが露出する脆弱性を発見しました。この脆弱性を悪用すると、攻撃者は信頼されたセッションを偽造でき
タグ: OAuth
Scytale MCP、AIツールに範囲を限定した読み取り専用のコンプライアンスデータアクセスを提供
Scytaleは、顧客のAIツールをコンプライアンスプログラムに直接接続するModel Context Protocol（MCP）サーバー「Scytale MCP」の提供開始を発表しました。Scytale MCPを使えば、ClaudeやChatGPTなどのツールが最新のコンプライアンスデータを照会でき、画面を一つずつ
Google DevSiteに深刻な脆弱性、認証なしでリモートコード実行が可能に
Googleの開発者向けドキュメント基盤「DevSite」に深刻なセキュリティ脆弱性が存在し、認証なしの攻撃者が、悪意あるPythonのpickleペイロードを埋め込んだFlaskセッションCookieを偽造することで、Google運営のサービス上で任意のコードを実行できた可能性があることが分かりました。 セキュリテ
Google DevSiteに重大な脆弱性、偽造Flaskセッションでリモートコード実行が可能に
Simonkoeck氏によると、Googleはこの問題を2026年10月7日に修正しました。同氏は、本番環境のインフラに対してOSコマンドを実行する代わりに、遅延時間を制御した実行によって攻撃が成立することを実証しました。 ペイロードをデコードして展開すると、CSRFトークンと、google_oauth2_flow_
AIの第3の波：「同僚」型AIが、エージェント向けに機能していたセキュリティモデルを崩壊させる
AIエージェントはあなたの認証情報を借りるだけです。しかしAIの同僚は、それを決して返してくれません。 執筆：Itamar Apelblat氏（Token Security 共同創業者兼CEO） 私たちには、何年もかけてゆっくり変化に適応する余裕はもうありません。AI主導の働き方の根本的な変化は月ごとに姿を変えており
Anthropic MCP Python SDKに脆弱性、OAuth認証情報の窃取とアカウント乗っ取りが可能に
セキュリティ研究者らは、AnthropicのModel Context Protocol(MCP)のPython SDKに、深刻度の高い脆弱性が存在することを公表しました。この脆弱性を悪用されると、悪意あるMCPサーバーにOAuth認証情報を盗まれ、ユーザーのアカウントを乗っ取られるおそれがあります。Cloudsec
MCP Python SDK、OAuthの欠陥で悪意あるサーバーに認証情報を窃取されアカウント乗っ取りの恐れ
Anthropicの公式Model Context Protocol（MCP）Python SDKに、深刻度の高いOAuthの脆弱性が新たに見つかりました。悪意あるMCPサーバーが認証情報を盗み出し、ユーザーのアカウントを乗っ取る恐れがあります。 この欠陥は、脆弱なSDKのリリースとOAuthプロバイダーを使用するH
マイクロソフト、AIフィッシングプラットフォーム「EvilTokens」を解体
もはやパスワードは主要な防御壁ではありません。EvilTokensは、正規のマイクロソフトのページ上でユーザー自身にアクセスを承認させ、その結果得られた有効なトークンを顧客に引き渡す手口を使っていました。このプラットフォームは数カ月にわたり、世界中の1万を超える組織で1万2,000以上のメールボッ
Firefoxの拡張機能、OAuthセッションクッキー窃取でGoogleアカウントを乗っ取り
「PDF Identity Verifier」と呼ばれるこのアドオンは、2026年9月3日にFirefoxアドオンストアに登場しました。悪意のある機能は9月11日公開のバージョン1.4で追加されています。 Socketによると、この拡張機能の利用者は少数にとどまっており、想定される影響は限定的だといいます。ただし、そ
F5、BIG-IP APMで悪用が確認されたゼロデイ脆弱性を修正
この深刻なリモートコード実行の脆弱性はCISAのKEVカタログに追加されており、15,000件以上の展開環境が影響を受ける可能性があります。 テクノロジー企業のF5は火曜日、同社のBIG-IP Access
すべての記事を読み込みました