Development & Open Source
Sviluppo software e open source segue supply chain, dipendenze, tooling, repository e sicurezza del codice. Il cluster evidenzia vulnerabilità, aggiornamenti e pratiche utili per sviluppatori e maintainer.
GitHub Actions blinda checkout contro attacchi pwn request
GitHub rilascia actions/checkout v7 con blocco di default per fork malevoli. I workflow pinned a SHA restano esposti: ecco la deadline…
OpenAI sposta il paradosso della remediation: da chi trova bug a chi li patcha
OpenAI rilascia GPT-5.5-Cyber e l'iniziativa Patch the Planet. L'AI ha risolto la scoperta vulnerabilità, creando un problema più gran…
DifyTap: 4 CVE svelano isolamento cross-tenant fallato in Dify
Zafran Security ha divulgato DifyTap, quattro vulnerabilità in Dify che permettevano lettura di conversazioni e file cross-tenant.
Samsung rlottie: RCE via integer truncation, patch open-source
Un errore di tipo short vs int nella libreria grafica Samsung rlottie permette esecuzione remota di codice tramite file animazione mal…
Atril, RCE via EPUB: patch disponibile da 9 giorni prima del disclosure
ZDI-26-360: heap buffer overflow nel viewer Atril di MATE Desktop permette esecuzione remota di codice tramite file EPUB malevoli. La…
iOS AI apps: 282 esposte, solo 28% corregge
Studio Wake Forest: 282 app iOS LLM su 444 analizzate espongono credenziali API. Dopo 90 giorni di disclosure, solo il 28% ha corretto…
systemd 261: TPM software e installer nativo riscrivono le regole
systemd 261 introduce un TPM software, un installer OS nativo e un sottosistema cloud IMDS.
Microsoft attribuisce attacco Mastra a Sapphire Sleet nordcoreano
Microsoft attribuisce con alta confidenza l'attacco supply chain a 140+ pacchetti npm Mastra al gruppo nordcoreano Sapphire Sleet.
Attack surface 2026: il 42% delle aziende ha database esposti su Internet
Il report Intruder su 3.000 organizzazioni svela il paradosso del midmarket: aziende in crescita con superficie di attacco enterprise…
X.Org Server UAF CVE-2026-34001: escalation locale a root su Linux
Il 9 giugno 2026 il programma Zero Day Initiative di TrendAI ha pubblicato l' advisory ZDI-26-335 , che documenta una vulnerabilità us…
Klue breach: OAuth dormiente apre multi-vittima su Salesforce
Il gruppo Icarus ha esfiltrato dati CRM da clienti Klue abusando token OAuth rubati.
Roblox: il malware robase ruba sessioni e trasferisce la proprietà dei giochi
Malware 'robase' ruba session token e trasferisce ownership di giochi Roblox: da furto di credenziali a espropriazione di imprese digi…