Ricerca.

OS Command Injection (CWE-78) nella branch v2-dev di im3x/Scriptables: input non sanitizzato passato a una shell, con esecuzione di comandi arbitrari sul server. Dalla proof of concept alla notifica al maintainer e all'assegnazione MITRE.

Zip Slip / Path Traversal (CWE-22) in codeskyblue/gohttpserver v1.3.0: un archivio malevolo estrae file al di fuori della directory prevista, permettendo la scrittura su path arbitrari dell'host.

Path Traversal (CWE-22, CVSS 9.8) in GodoOS di phpk: validateFilePath() controlla soltanto che il path non sia vuoto, lasciando 14+ endpoint non autenticati liberi di leggere, scrivere e cancellare file arbitrari sull'host. Advisory in coordinated disclosure, CVE in attesa.

Responsible disclosure ad Anthropic di un bypass dei guardrail di sicurezza di Claude Code. Segnalazione gestita in canale privato con il vendor: i dettagli tecnici restano riservati.

Su una piattaforma SaaS di customer support (engagement sotto NDA): indirect prompt injection (RAG poisoning) sull'AI agent. Un articolo della knowledge base avvelenato induce l'AI a generare risposte di phishing - richiesta della password e redirect a un URL malevolo - inviate dal canale ufficiale con DKIM/SPF/DMARC validi e senza revisione umana. Catena dimostrata end-to-end con prova .eml (OWASP LLM01).

Endpoint admin non autenticati sulla data-plane port di Pyroscope abilitano accesso cross-tenant ai dati (High, 8.6).

Header di autenticazione custom (X-API-Key, X-Auth-Token) inoltrati al target di un redirect cross-domain invece di essere rimossi: leak di credenziali nel modulo follow-redirects, la dipendenza di redirect di axios. Stessa classe confermata in altre cinque librerie HTTP; fix rilasciato nella 1.16.0.

Fix incompleto di una path traversal nel restore dei delta backup di pghoard (Aiven): scrittura di file arbitrari al di fuori della directory pgdata.

Hardcoded Session Secret (CWE-798) in codeskyblue/gohttpserver v1.3.0: chiave di sessione statica nel sorgente, che apre alla falsificazione dei token. Riscalata a 7.5 in triage (il gate agisce sulla scrittura, non sulla lettura).

CNAME pendenti su railing.meraki.com e heroku.meraki.com puntano a un'applicazione Heroku registrata ma inattiva: rischio di subdomain takeover.

SSRF nella validazione degli URL webhook: nessun filtro sugli IP interni, con disclosure completa del response body. Risolto dal vendor.

Per un provider SaaS in ambito governativo FedRAMP (engagement sotto NDA): credenziali del pool AWS Cognito esposte in un config file pubblico, con user enumeration non autenticata (PreventUserExistenceErrors disabilitato) e credential stuffing senza rate limit. Catena completa dimostrata, dalla ricognizione alle condizioni per l'account takeover.

Header sensibili (Authorization, Cookie) non rimossi quando il client segue un redirect verso un'altra origine: leak di credenziali cross-origin. Confermato nel fetch globale di Node.js, dove undici è incorporato.

Stessa classe nel client npm node-fetch: gli header di autenticazione sopravvivono al redirect verso un host diverso, esponendoli all'origine di destinazione.

Nel client Go resty: gli header impostati dall'utente non vengono ripuliti sul redirect cross-origin, con leak di token e cookie verso la nuova destinazione.

Nel client Go req: stessa classe di leak: gli header sensibili vengono inoltrati a una nuova origine al seguire un redirect, senza sanitizzazione.

Nel client Go gorequest: header di autenticazione inoltrati a una nuova origine dopo il redirect, chiudendo la serie di sei librerie HTTP colpite dalla stessa classe.

Credenziali preservate su un redirect HTTP→HTTPS verso lo stesso host quando cambia solo la porta: il controllo same-host guardava host e schema, non la porta. Segnalato il 20 marzo, risolto in sei giorni (PR #12275); chiuso senza CVE perché il codice viveva solo sulla linea di sviluppo v4, mai in una release.

Hashing EIP-712 errato dei tipi dinamici in GuardedMulticaller2: la struttura non viene serializzata secondo lo standard, con rischio sulla validazione delle firme.

Hijacking cross-user dei consumer Kafka via enumerazione dell'identificatore nel REST proxy, con esfiltrazione non autorizzata di messaggi.

Bypass di autorizzazione nei permessi delle cartelle annidate di Grafana (Medium, 6.5).

Disclosure non autenticata della versione applicativa via endpoint /version, utile a un attaccante per il fingerprinting.

Isolamento di rete del sandbox SDK aggirabile: accesso ai metriche Prometheus dell'host attraverso la Docker bridge.

SSRF e scanning della rete interna tramite la funzione SECURITY DEFINER aiven_extras.pg_create_subscription().