Development & Open Source
Sviluppo software e open source segue supply chain, dipendenze, tooling, repository e sicurezza del codice. Il cluster evidenzia vulnerabilità, aggiornamenti e pratiche utili per sviluppatori e maintainer.
Next.js, due patch critiche per RCE: il divario tra cloud managed e self-hosted
Vercel ha rilasciato patch per due vulnerabilità critiche in Next.js con RCE non autenticato.
Blind spot VCS: Wiz CIRT pubblica matrice DFIR per GitHub e GitLab
Il 27 agosto 2026 il team di ricerca Wiz CIRT ha diffuso un poster DFIR dedicato alle piattaforme di version control SaaS, mappando ev…
Satanic svela 1.033 API key Stripe: il vettore non è l'infostealer
Il threat actor Satanic ha rilasciato dati di 669 vendor Stripe con API key live.
Fabric.js, il parsing JSON diventa arma di attacco: scoperto il bug SSRF
La vulnerabilità CVE-2026-19504 nel metodo loadFromJSON di Fabric.js consente attacchi SSRF per divulgazione di informazioni sensibili.
BlueZ: buffer overflow in A2DP consente RCE con privilegi di root
Il 24 agosto 2026 l'advisory ZDI-26-589 rende pubblica una vulnerabilità nel modulo A2DP di BlueZ, lo stack Bluetooth standard delle d…
libwebsockets: RCE via HTTP/2 HPACK, patch di una sola riga disponibile
ZDI-26-590 svela una vulnerabilità RCE remota non autenticata in libwebsockets. Il bounds check mancante nel parser HTTP/2 HPACK espon…
TeamPCP sfrutta GitHub Actions e PyPI per rubare credenziali
La campagna TeamPCP ha compromesso GitHub Actions e pacchetti PyPI tra marzo e aprile 2026.
Exploitarium: il "recruitment by chaos" che sfonda il modello CVD
Il ricercatore 'bikini' ha rilasciato oltre 30 exploit zero-day su GitHub senza avvisare i maintainer.
Trivy e LiteLLM compromessi: 2.100+ organizzazioni esposte da tool di sicurezza
TeamPCP ha compromesso le pipeline CI/CD di Trivy e LiteLLM tra il 19 e il 24 marzo 2026.
Stripe: 1.033 API keys venditori esposte, Satanic rivendica ~20.000 in totale
Il threat actor Satanic ha pubblicato dati di 669 vendor Stripe con oltre mille API keys live.
Megalodon: 5.561 repository GitHub compromessi in 6 ore
La campagna Megalodon ha iniettato workflow malevoli in migliaia di repository GitHub esfiltrando token CI/CD.
Notepad++: l'alert istituzionale arriva quattro mesi dopo il fix
La Cyber Security Agency di Singapore ha pubblicato un advisory su CVE-2026-3008, una string injection flaw in Notepad++ 8.9.3 con CVS…