Broken-Access-Control

ผู้ผลิตกระเป๋าคริปโตแบบฮาร์ดแวร์ SafePal เตือนลูกค้าราว 39,798 รายว่าข้อมูลคำสั่งซื้อถูกขโมยไป หลังผู้โจมตีใช้ช่องโหว่การให้สิทธิ์ในฟังก์ชันติดตามคำสั่งซื้อของปลั๊กอินเข้าถึงข้อมูลของลูกค้ารายอื่น ข้อมูลที่รั่วครอบคลุมชื่อ อีเมล ที่อยู่จัดส่ง เบอร์โทรศัพท์ และรายละเอียดการซื้อ แต่ไม่รวม seed phrase กุญแจส่วนตัว หรือรหัสผ่าน ขณะนี้มีผู้ประกาศขายข้อมูลชุดดังกล่าวบนฟอรัมอาชญากรรมไซเบอร์ และบริษัทได้ปิดเว็บไซต์หลอกลวงไปแล้วกว่า 30 แห่ง

แอป Click to Pray แอปสวดมนต์อย่างเป็นทางการของวาติกัน ทำข้อมูลส่วนบุคคลของผู้ใช้กว่า 700,000 รายรั่วไหล ผ่านช่องโหว่ API ที่ไม่ต้องยืนยันตัวตน (unauthenticated) เว็บไซต์ DarkReading พบปัญหานี้หลังนักวิจัย นาย BobDaHacker รายงานช่องโหว่ IDOR ตั้งแต่เดือนมกราคม จุดอ่อนคือ API ใช้เลข ID ผู้ใช้แบบเรียงลำดับ ทำให้ใครก็ตามเดาเลขแล้วดึงชื่อ อีเมล ประเทศ และบทบาทของบัญชีออกมาได้จำนวนมาก แม้ไม่ใช่เหตุมัลแวร์ แต่เปิดช่องให้ทำฟิชชิงและปลอมตัวเป็นวาติกันได้ง่าย