Credential Stuffing: A Defender’s Guide to Detecting Automated Login Attacks

IdentityServer4 is dead. Here’s what comes next.

RSK đã fork IdentityServer4 thành Open.IdentityServer, phiên bản miễn phí và mã nguồn mở cho OpenID Connect và OAuth 2.0 trên .NET, nhằm thay thế phiên bản thương mại của Duende Software. Open.IdentityServer 1.0.0 ra mắt tháng 6/2025 với giấy phép Apache 2.0, hỗ trợ di chuyển dễ dàng từ Duende chỉ bằng thay đổi NuGet package.

Nếu bạn đang phát triển ứng dụng .NET sử dụng OAuth 2.0/OpenID Connect và muốn có một giải pháp mã nguồn mở, hỗ trợ lâu dài mà không phụ thuộc vào các giải pháp thương mại, thì Open.IdentityServer là lựa chọn thay thế đáng tin cậy và dễ triển khai ngay hôm nay.

Vercel Flags no longer requires SDK Keys for Vercel deployments

Vercel Flags giờ đây tự động xác thực thông qua OIDC tokens ngắn hạn mà không cần SDK Keys hay biến môi trường FLAGS cho các triển khai trên Vercel. Chỉ cần vercel link và vercel env pull là đủ cho phát triển local, trong khi các dự án cũ vẫn giữ nguyên yêu cầu SDK Keys cho các trường hợp đặc biệt.

Lập trình viên cần đọc bài này để hiểu cách tối ưu hóa quản lý tính năng động (flags) trong dự án Vercel mới nhất, giảm thiểu rủi ro về bảo mật khi sử dụng SDK Keys và khám phá giải pháp tự động hóa cho phát triển và triển khai.

Authentication Bypass in the default configuration phpBB

Lỗ hổng nghiêm trọng bypass xác thực (CVE-2026-48611) trong cấu hình mặc định của phpBB cho phép kẻ tấn công đăng nhập vào bất kỳ tài khoản nào, kể cả admin, bằng cách khai thác tính năng OAuth thông qua tham số auth_provider=apache mà không cần mật khẩu. Lỗ hổng đã được vá trong phiên bản phpBB 3.3.17.

Lập trình viên phát triển hệ thống quản lý diễn đàn phpBB nên đọc bài này để cảnh báo về nguy cơ bẻ khóa xác thực trong cấu hình mặc định, giúp họ cập nhật ngay phiên bản mới nhất và kiểm tra bảo mật trước khi triển khai ứng dụng.

Microsoft 365 users fall victim to one-in-a-million password spray attack

A large-scale automated password spray attack targeted Microsoft 365 accounts, with attackers making 81 million login attempts against Huntress customers between June 12–26, successfully compromising at least 78 accounts. The attack originated from a single IPv6 address range controlled by LSHIY LLC and exploited the OAuth ROPC flow using previously exposed credentials. Success was enabled by misconfigured MFA policies — some organizations enforced MFA only for specific apps or user groups rather than all cloud apps, leaving gaps that attackers exploited via Azure CLI logins.

Enabling Cross App Access for SAML-Based Enterprise Apps

A technical guide for implementing Cross App Access (XAA) with SAML-based enterprise applications, enabling AI agents to access APIs without migrating to OIDC. Covers the Identity Assertion Authorization Grant (ID-JAG) flow, how to decode and validate ID-JAG claims (especially the saml-nameid subject identifier), a five-step implementation checklist including user identity mapping via NameID + sp_name_qualifier, ID-JAG validation with issuer binding before signature verification, access token issuance (without refresh tokens), authorization server metadata updates, and Okta tenant configuration. Also includes a quick migration checklist for teams already using XAA with OIDC apps.

Building a Secure Customer Identity Strategy for Modern eCommerce

Chiến lược nhận dạng khách hàng trong thương mại điện tử hiện đại không chỉ dừng lại ở ô đăng nhập đơn giản mà còn ảnh hưởng đến thu hút khách, cá nhân hóa, chống gian lận, và giữ chân khách hàng. Một chiến lược nhận dạng vững chắc cần thống nhất hồ sơ khách hàng trên nhiều nền tảng, triển khai xác thực thích ứng, và hỗ trợ đăng nhập không mật khẩu hoặc qua mạng xã hội. Bài viết cũng đề cập đến luồng nhận dạng trong thanh toán, tầm quan trọng của "identity hygiene" đối với cá nhân hóa, và hệ quả tiêu cực của mô hình nhận dạng yếu. Cuối cùng, tác giả đưa ra lộ trình 4 bước để xây dựng chiến lược nhận dạng hiệu quả.

Lập trình viên nên đọc bài này để hiểu cách xây dựng cơ sở hạ tầng xác thực khách hàng an toàn và hiệu quả, từ đó tối ưu hóa quy trình checkout, giảm thiểu rủi ro bảo mật và cải thiện trải nghiệm người dùng trong hệ thống eCommerce của bạn.

5 Things Your Internal Team Can’t Do, But External VAPT Can

External Vulnerability Assessment and Penetration Testing (VAPT) offers five key advantages over internal security teams: unbiased assessment free from familiarity bias, identification of actually exploitable weaknesses through attacker-mindset testing, broader threat intelligence from cross-industry experience, discovery of hidden attack chains across the full attack surface, and access to specialized tools and methodologies. The post argues that external VAPT complements rather than replaces internal teams, with internal teams handling continuous monitoring and incident response while external testers provide independent offensive assessments, exploit validation, and remediation guidance.