Hiding a Signup Button Isn’t Security: From Client-Side Controls to Cross-Tenant Data Exposure

daniel.haxx.se1 Hot2 phút2 giờ trướcAI

curl 8.22.0

Phiên bản curl 8.22.0 vừa được ra mắt với tổng cộng 9 bản vá bảo mật và 10 CVE mới ảnh hưởng tới curl, libcurl và công cụ wcurl. Các lỗi bao gồm việc bỏ qua xác thực SASL trong OpenLDAP, lỗi use-after-free khi xử lý server push của HTTP/2, bypass việc ghim OpenSSL và bỏ qua thuộc tính cookie an toàn. Trong cùng bản cập nhật, nhà phát triển đã thêm hỗ trợ thử nghiệm cho RFC 9421 HTTP Message Signatures, tích hợp Apple GSS Framework và hỗ trợ UDP nhanh, đồng thời chặn việc fallback NTLM trong quá trình thương lượng SPNEGO và bỏ qua hỗ trợ TLS‑SRP. Dự án cũng thông báo sẽ loại bỏ sớm các tính năng như HTTP/2 Server Push, triển khai crypto cục bộ, NTLM và SMB, vì vậy các nhà phát triển cần kiểm tra lại việc sử dụng chúng trong ứng dụng. Phiên bản tiếp theo dự kiến ra mắt vào cuối tháng mười, do đó việc theo dõi nhật ký thay đổi và lên kế hoạch nâng cấp sớm sẽ giúp tránh các rủi ro bảo mật và sự gián đoạn khi các tính năng cũ bị gỡ bỏ.

Phiên bản curl 8.22.0 mang đến 9 bản vá bảo mật quan trọng mà lập trình viên cần nắm để bảo vệ ứng dụng của mình khỏi các lỗ hổng nguy hiểm.

#security #curl Nguồn

Recorded Future Blog2 Hot6 phút16 giờ trướcAI

The Agentic SOC – From AI Theater to Real Defense

Bối cảnh là cuộc đua chuyển SOC (Security Operations Center) từ mô hình cảnh báo thụ động sang SOC "agentic" có khả năng tự hành động. Nguyên nhân kỹ thuật xuất phát từ thực trạng "AI theater" khi nhiều tổ chức triển khai AI/ML chỉ để trình diễn chứ không đem lại hiệu quả đo lường được. Hệ quả là SOC truyền thống bị quá tải bởi alerts, trong khi SOC agentic có thể giảm thiểu rủi ro an ninh nhờ các tác nhân (agents) hoạt động tự động. Điều đáng học là cần ưu tiên các KPI đo lường cụ thể (như giảm 30% thời gian phản hồi) và đào tạo lại vai trò của analyst từ quản lý alerts sang quản lý các agents.

Bài viết này giúp lập trình viên hiểu cách chuyển từ "AI theater" sang phòng thủ an ninh thực tế bằng cách tập trung vào KPI đo lường được và quản lý agent hiệu quả.

#security #ai-agent #prompt-injection Nguồn

Socket1 Hot4 phút12 giờ trướcAI

Microsoft Teams Notifications Are Now Available in Socket

Socket là nền tảng giám sát rủi ro chuỗi cung cấp phần mềm, trước đây chỉ hỗ trợ thông báo qua email hoặc Slack. Bản cập nhật mới cho phép Socket gửi cảnh báo và thông báo về tấn công chuỗi cung cấp trực tiếp tới Microsoft Teams qua kết nối webhook. Các bộ lọc được cấu hình trong Socket cho phép định tuyến từng loại cập nhật tới kênh Teams phù hợp, giảm thiểu thông báo không liên quan. Với tính năng này, nhóm phát triển và bảo mật có thể nhận được cảnh báo real‑time trong môi trường làm việc chung, shortening mean time to detect (MTTD) các sự cố. Bài học là việc tích hợp công cụ bảo mật vào nền tảng cộng tác giúp tăng khả năng nhìn thấy và phản ứng nhanh mà không cần chuyển đổi ngữ cảnh.

Socket tích hợp cảnh báo Microsoft Teams giúp lập trình viên nhận thông tin tấn công chuỗi cung ứng một cách linh hoạt qua kênh làm việc quen thuộc.

#security #devsecops Nguồn

ClickHouse1 Hot3 phút13 giờ trướcAI

ClickHouse welcomes RunReveal

Bảo mật đang trở thành khối lượng dữ liệu lớn nhất và tăng trưởng nhanh nhất trong doanh nghiệp. ClickHouse quyết định mua lại RunReveal để bổ sung khả năng phân tích bảo mật vào nền tảng OLAP của mình. Sau khi tích hợp, ClickHouse sẽ cung cấp các truy vấn bảo mật thời gian thực và phát hiện mối đe dọa trực tiếp trên kho dữ liệu, giảm nhu cầu chuyển đổi dữ liệu sang công cụ riêng. Việc hợp nhất công cụ phân tích bảo mật chuyên dụng vào hệ thống kho dữ liệu chung giúp doanh nghiệp tối ưu chi phí và tăng tốc độ phản hồi sự cố. Điều này cũng cho thấy xu hướng mở rộng chức năng của các hệ thống lưu trữ dữ liệu để đáp ứng nhu cầu bảo mật ngày càng phức tạp.

Những lập trình viên phát triển hệ thống bảo mật hoặc xử lý dữ liệu an toàn sẽ tìm hiểu RunReveal để biết cách tích hợp hiệu quả với ClickHouse để tối ưu hóa phân tích bảo mật và tuân thủ quy định.

#security #business #clickhouse Nguồn

The New Stack1 Hot11 phút18 giờ trướcAI

When agents build, deploy, and maintain, persistence becomes the hard problem

Các ứng dụng agent đang đối mặt với thách thức chi phí cơ sở dữ liệu khi agent phải xây dựng, triển khai và duy trì hệ thống. Nguyên nhân kỹ thuật là do coupling giữa state và compute khiến database phải hoạt động liên tục để lưu trữ trạng thái của agent. Hệ quả là chi phí cơ sở dữ liệu tăng lên đáng kể khi hệ thống mở rộng, gây ra "database idle cost trap". Giải pháp hiệu quả là decoupling state từ compute, giúp giảm đáng kể chi phí khi không có agent nào hoạt động. Bài viết cung cấp kiến thức thực tế về cách tối ưu hóa kiến trúc agent-based application để cân bằng giữa hiệu năng và chi phí.

Bài này giải quyết bài toán persistence khó khăn khi agent quản lý trạng thái và tính toán, giúp tối ưu chi phí database cho ứng dụng agent-based.

#ai-agent #serverless #multi-tenancy Nguồn

FireUp17 Hot4 phút7 ngày trướcAI

Keycloak CVE-2026-18963: password reset without email or auth

Keycloak là nền tảng quản lý danh tính và truy cập mã nguồn mở phổ biến trong các hệ thống doanh nghiệp. CVE-2026-18963 với điểm CVSS 9.1 xuất hiện vì endpoint reset mật khẩu không yêu cầu xác thực người dùng cũng như không kiểm tra việc xác minh qua email. Do đó, kẻ tấn công không cần đăng nhập có thể gửi yêu cầu đặt lại mật khẩu cho bất kỳ tài khoản nào và lấy lại quyền truy cập hoàn toàn. Hệ quả là khả năng chiếm đoạt tài khoản người dùng rộng rãi, dẫn đến rò rỉ dữ liệu và phá hoại dịch vụ. Bài học là luôn xác thực và xác thực lại các thao tác nhạy cảm như reset mật khẩu, đồng thời cập nhật Keycloak lên phiên bản 26.7.2 hoặc mới hơn để vá lỗi này.

Lập trình viên nên đọc bài này để biết lỗ hổng mật khẩu nghiêm trọng trong Keycloak và cập nhật bản vá bảo vệ hệ thống.

#security #cloud #infrastructure Nguồn

Socket1 Hot2 phút1 ngày trướcAI

6 AppSec CTOs Debate Open Source Supply Chain Security at Black Hat

6 AppSec CTOs, trong đó có CTO của Socket là Ahmad Nassri, tham dự tại Black Hat để bàn về bảo mật software supply chain. Họ nhấn mạnh mối đe dọa từ active malware và lỗ hổng trong package manager gây nguy cơ xâm nhập vào các phụ thuộc. Nếu không kiểm soát, các cuộc tấn công có thể làm hỏng toàn bộ hệ thống phụ thuộc và gây thiệt hại nghiêm trọng. Do đó, việc áp dụng các biện pháp giám sát và kiểm tra bảo mật khi phát hành gói là cần thiết để giảm thiểu rủi ro. Đọc bài gốc giúp bạn nắm bắt chi tiết về chiến lược phòng thủ và các công cụ thực tiễn.

Lập trình viên nên đọc bài này để hiểu rõ các rủi ro an ninh chuỗi cung ứng phần mềm và cách bảo vệ dự án của mình khỏi mã độc.

#security #open-source #cicd Nguồn

InfoQ52 Hot4 phút19 ngày trướcAI

npm 12 Released: Install Scripts Off by Default as Registry Moves to Explicit Trust

npm 12 mặc định tắt cài đặt scripts trong quá trình cài đặt package, buộc người dùng phải cho phép rõ ràng khi chạy scripts. Thay đổi này nhằm tăng cường bảo mật khi registry npm chuyển sang mô hình tin cậy minh bạch.

Lập trình viên nên đọc bài này vì npm 12 thay đổi cơ chế bảo mật bằng cách cắt bỏ mặc định quyền chạy script từ các gói npm, giúp giảm rủi ro từ các cuộc tấn công thông qua các lệnh tự động chạy trong dự án.

#security #javascript #nodejs Nguồn

Hiding a Signup Button Isn’t Security: From Client-Side Controls to Cross-Tenant Data Exposure

Đề xuất cho bạn

Bình luận

curl 8.22.0

The Agentic SOC – From AI Theater to Real Defense

Microsoft Teams Notifications Are Now Available in Socket

ClickHouse welcomes RunReveal

When agents build, deploy, and maintain, persistence becomes the hard problem

Keycloak CVE-2026-18963: password reset without email or auth

6 AppSec CTOs Debate Open Source Supply Chain Security at Black Hat

npm 12 Released: Install Scripts Off by Default as Registry Moves to Explicit Trust

Một tài khoản, cả hệ sinh thái

8syncdev.com

Khóa học

Luyện code

IELTS

ZUS — IDE AI

mind0

AcoLeads