Okta Verify for Windows Remote Code Execution – CVE-2024-0980
This article is in no way affiliated, sponsored, or endorsed with/by Okta, Inc. All graphics are being displayed under fair use for the purposes of this article. Poppin shells with Okta Verify on WindowsThese days I rarely have an opportunity to do bug hunting. Fortunately, over the holiday break, I found some free time. This started as it usually does with me looking at what software was running
GitHub - octo-sts/app: A GitHub App that acts like a Security Token Service (STS) for the Github API
The V8 Sandbox · V8
After almost three years since the initial design document and hundreds of CLs in the meantime, the V8 Sandbox — a lightweight, in-process sandbox for V8 — has now progressed to the point where it is no longer considered an experimental security feature. Starting today, the V8 Sandbox is included in Chrome's Vulnerability Reward Program (VRP). While there are still a number of issues to resolve be
XSS using dirty Content Type in cloud era
2024/3/31(土)開催のコミュニティイベント「Bsides Tokyo 2024」でのAzara、eiによるセッション資料です。 https://bsides.tokyo/2024/#xss-using-dirty-content-type-in-cloud-era
It's Not Safe to Click Links on X
I think the kindest thing you can say about X (the social network formerly known as Twitter) in 2024 is that it's impressive the site is actually still up and running. Sure, spam bots take over popular threads, hate speech is on the rise (X is suing the company tracking it, by the way), and advertising is way down, but despite it all, twitter.com still manages to load. But the reasons to bother lo
Firebase Authのリダイレクトログインを使っている人は今年の6月までに対応しないと大変ですよという注意喚起
公式ドキュメントに書いてあり、Firebaseからもメールなどで通知されていることではあるのですが、意外と見落としたままになっているかもしれない情報なので、啓蒙の意味も込めて記事にします。 結論 Firebase AuthのJavaScript SDKを使っている場合、今年6月までに以下のドキュメントに従った対応をしないとChrome/Edgeでリダイレクトログインが動かなくなります。 サードパーティのストレージ アクセスをブロックするブラウザで signInWithRedirect を使用する場合のベスト プラクティス 必要な対応 公式ドキュメントにある対応選択肢を、補足や注意点も含めた形で以下に焼き直してみます。 ポップアップ形式のログインでもいい場合 同一タブ内でリダイレクトしてログインする形式から、ポップアップウインドウを開いてログインする形式に切り替えましょう。 （公式ドキュメン
「顔」を盗むiPhoneマルウエア出現、ディープフェイクで銀行口座に不正アクセス
生成AI（人工知能）などを悪用した「ディープフェイク」が大きな脅威になっている。その1つが「顔交換」。自分の顔を他人の顔にすげ替えた動画や画像を生成する。無料あるいは安価なツールやサービスが出回り、誰でも簡単に試せる状況になっている。 顔交換の悪用方法の1つが、生体認証の回避である。顔交換で他人になりすまし、顔認証をパスして不正にログインする。セキュリティー企業の英iProov（アイプルーブ）によると、顔交換を悪用したサイバー攻撃が2023年後半に急増。2023年前半と後半を比べると、報告件数が8倍以上になったという。 顔交換を実現するには、なりすましたい相手の顔情報を盗む必要がある。そのために開発されたと思われるマルウエアを、シンガポールのセキュリティー企業Group-IB（グループIB）が2024年2月15日（現地時間、以下同）に報告した。 Androidスマホ版（Android版）と
New limits on scoped token creation for GitHub Apps
February 22, 2024 As a proactive measure to protect Github.com availability, GitHub Apps that attempt to create high-complexity scoped installation tokens will receive failures if they would individually reference too many repositories. At the time of release, no GitHub App is above these limits – the limit is approximately 8 times higher than what any app is consuming. See below for details on ho
GitHub OAuthアプリを使ったスパム攻撃を停止させる
2024年2月21日ごろから、"Github Jobs"を名乗るGitHubの開発者ポジションをオファーするスパム攻撃が発生しています。 仕組みとしては、GitHubのIssueやPRでmentionをするとメールの通知が届くのを利用して、コメントでスパムメッセージを送りつけるものです。 以前からこのスパムは存在していましたが、今回おきた問題はGitHub OAuth Appを用意して、スパムコメントで24時間以内にここから申請してくださいという感じの誘導して、OAuthアプリの認証を行わせる攻撃が含まれていました。 このスパムOAuthアプリは、GitHubのprivateリポジトリの読み取りやコメントの読み書きなどの権限も持っていたため、このスパムアプリを認可してしまうと、その人のアカウントでさらにスパムコメントが増えるという問題が起きていました。 詳細は、次のGitHub Discu
Release Release v0.28.0 · axios/axios
Release notes: Bug Fixes fix(security): fixed CVE-2023-45857 by backporting withXSRFToken option to v0.x (#6091) Backports from v1.x: Allow null indexes on formSerializer and paramsSerializer v0.x (#4961) Fixing content-type header repeated #4745 Fixed timeout error message for HTTP 4738 Added axios.formToJSON method (#4735) URL params serializer (#4734) Fixed toFormData Blob issue on node>v17 #47
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
1,000,000 requests 2FA bypass
The end of GitHub PATs: You can’t leak what you don’t have
Firefox onmouseover bypass · Issue #37 · LavaMoat/LavaDome
GitHub - LavaMoat/LavaDome: Secure DOM trees isolation and encapsulation leveraging ShadowDOM
Node.js — Wednesday, April 10, 2024 Security Releases
GitHub - WICG/dbsc
Analyse a phishing site - phish.report
Fraud Alert: Fake GitHub Job Opportunity Email · community · Discussion #109171
Configuring: Content Security Policy | Next.js
Secret scanning adds webhook support for validity checks