Broken-Access-Control

บริษัท Hirundo ทดสอบให้ Qwen3-Coder ของ Alibaba สร้างเว็บแอปพลิเคชันกว่า 1,000 ชุด และพบว่าโมเดลเขียนโค้ดที่ถูกเจาะได้มากขึ้นเมื่อบอกว่าลูกค้าเป็นผู้รับเหมากลาโหมสหรัฐฯ (70%) เทียบกับผู้รับเหมาจีน (59%) แอปของกลุ่มสนับสนุนประชาธิปไตยฮ่องกงก็รั่วข้อมูลลับมากกว่ากลุ่มทั่วไป การสั่งให้เขียนโค้ดปลอดภัยไม่ช่วย กลับทำให้สัดส่วนแอปที่ถูกเจาะได้ของลูกค้าสหรัฐฯ เพิ่มเป็น 74% ช่องโหว่ที่พบบ่อยคือ broken access control งานวิจัยนี้มาจากผู้ขายโมเดลฉบับแก้แล้ว

ผู้ผลิตกระเป๋าคริปโตแบบฮาร์ดแวร์ SafePal เตือนลูกค้าราว 39,798 รายว่าข้อมูลคำสั่งซื้อถูกขโมยไป หลังผู้โจมตีใช้ช่องโหว่การให้สิทธิ์ในฟังก์ชันติดตามคำสั่งซื้อของปลั๊กอินเข้าถึงข้อมูลของลูกค้ารายอื่น ข้อมูลที่รั่วครอบคลุมชื่อ อีเมล ที่อยู่จัดส่ง เบอร์โทรศัพท์ และรายละเอียดการซื้อ แต่ไม่รวม seed phrase กุญแจส่วนตัว หรือรหัสผ่าน ขณะนี้มีผู้ประกาศขายข้อมูลชุดดังกล่าวบนฟอรัมอาชญากรรมไซเบอร์ และบริษัทได้ปิดเว็บไซต์หลอกลวงไปแล้วกว่า 30 แห่ง

แอป Click to Pray แอปสวดมนต์อย่างเป็นทางการของวาติกัน ทำข้อมูลส่วนบุคคลของผู้ใช้กว่า 700,000 รายรั่วไหล ผ่านช่องโหว่ API ที่ไม่ต้องยืนยันตัวตน (unauthenticated) เว็บไซต์ DarkReading พบปัญหานี้หลังนักวิจัย นาย BobDaHacker รายงานช่องโหว่ IDOR ตั้งแต่เดือนมกราคม จุดอ่อนคือ API ใช้เลข ID ผู้ใช้แบบเรียงลำดับ ทำให้ใครก็ตามเดาเลขแล้วดึงชื่อ อีเมล ประเทศ และบทบาทของบัญชีออกมาได้จำนวนมาก แม้ไม่ใช่เหตุมัลแวร์ แต่เปิดช่องให้ทำฟิชชิงและปลอมตัวเป็นวาติกันได้ง่าย