126 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a devsecops.
A CISA incluiu CVE‑2025‑11953 no seu catálogo KEV: trata‑se de uma injeção de comandos no React Native Community CLI em exploração ativa. O vetor atinge servidores Metro expostos e permite execução remota de comandos; há prazo federal para correção. Recomenda‑se patch imediato, bloqueio de portas (8081) e caça via EDR.
A plataforma agentic AI 'Moltbook' expôs toda sua base de dados por uma API pública sem autenticação. A cobertura indica que todos os dados estavam acessíveis, mas não detalha número de usuários afetados, tipos de dados expostos nem se houve exploração ativa. Falta identificação do operador e medidas corretivas públicas.
Relatos técnicos mostram que configurações do VS Code são executadas automaticamente em GitHub Codespaces ao abrir repositórios ou PRs, criando risco de execução de código malicioso. Recomendações incluem revisar devcontainer e desabilitar execução automática em ambientes gerenciados.
A Eclipse Foundation anunciou que exigirá verificações de segurança antes da publicação de extensões no Open VSX Registry para reduzir riscos na cadeia de suprimentos. O movimento é descrito como uma mudança proativa, mas o comunicado não traz detalhes sobre quais verificações serão aplicadas, cronograma ou impacto retroativo — informações que são essenciais para desenvolvedores e times de segurança.
ZAP reportou vazamento de memória no motor JS que afeta varreduras ativas após inclusão de nova regra JS no add‑on OpenAPI. Nightly/Weekly atualizados e add‑on alterado para desabilitar a regra; stable pendente. Recomendações: atualizar, controlar recursos e, se necessário, usar varredura passiva ou outra ferramenta.
MEDUSA é um scanner SAST open-source com 74 scanners e 180+ regras focadas em riscos de agentes de IA. Suporta 42+ linguagens, relatórios SARIF/JSON e filtro inteligente para reduzir falsos positivos. Publicação cita performance paralela e capacidades de detecção de CVEs, mas faltam auditorias independentes e métricas reproduzíveis.
Pesquisadores atribuem ao grupo DPRK Konni um novo backdoor em PowerShell voltado a ambientes de desenvolvimento de blockchain, visando chaves e ativos de criptomoeda. DarkReading não divulga IoCs ou número de vítimas.
Relato do DarkReading aponta falhas no framework Chainlit que podem conceder poderes perigosos a atacantes em ambientes de nuvem. A cobertura via RSS é genérica e não lista CVEs, versões afetadas ou provas de exploração, exigindo acompanhamento técnico.
CVE-2026-22610 é uma falha de XSS no esquema de sanitização do compilador de templates do Angular que trata atributos href/xlink:href de elementos SVG como strings comuns, permitindo execução de JavaScript. O advisory do GitHub lista versões afetadas e versões corrigidas (incluindo 19.2.18, 20.3.16, 21.0.7 e 21.1.0-rc.0). Aplicações que usam bindings dinâmicos em SVG devem priorizar atualização ou aplicar validação server‑side até o patch.
Pesquisadores identificaram uma campanha que publicou 27 pacotes maliciosos no npm para atuar como infraestrutura de phishing dirigida a equipes comerciais e de vendas. Os artefatos ajudavam a capturar credenciais; mitigação exige SCA, políticas de registro e MFA.