#oauth
-
Уязвимость в официальном MCP Python SDK позволяет красть OAuth-учётные данные
Вредоносный MCP-сервер мог обманом заставить приложение на официальном Python SDK отдать секрет клиента, код авторизации и ключ PKCE злоумышленнику. Исправление вышло в версиях 1.30.0 и 2.2.0.
-
F5 закрывает критическую 0-day в BIG-IP APM: удалённое выполнение кода без авторизации
Уязвимость CVE-2026-94127 угрожает только тем системам, где модуль APM работает как сервер авторизации OAuth. F5 уже выпустила инженерные хотфиксы, а атаки идут в реальном времени.
-
Расширение для Twitch сливало OAuth-токены почти 31 000 пользователей
Вредоносное браузерное расширение «Twitch Enhanced Viewer | JeetBot» передавало сессионные токены зрителей на прокси-серверы коммерческого бот-сервиса — за исключением сессий десяти российских стримеров.
-
Атаки перебором паролей выросли в 155 раз из-за брешей в MFA
В первой половине 2026 года Huntress зафиксировала 155-кратный рост атак password spraying. Одна из кампаний за две недели сгенерировала свыше 81 миллиона попыток входа, пользуясь устаревшей аутентификацией и пробелами в политиках многофакторной защиты.
-
Bluesky предлагает протокол приватных данных для ATProto
Команда Bluesky опубликовала черновик Permissioned Data — расширения AT Protocol, которое добавляет к «публичному вещанию» данные с границей доступа: закладки, черновики, платный контент и приватные группы.
-
Microsoft описала три сценария атак ShinyHunters на Salesforce
Microsoft проанализировала годичную кампанию группы ShinyHunters против корпоративных сред Salesforce, отметив, что злоумышленники не эксплуатировали уязвимости платформы, а злоупотребляли доверенными OAuth-подключениями.