Graphql

ServiceNow ออกแพตช์แก้ช่องโหว่ 4 รายการบน ServiceNow AI Platform โดย 3 รายการได้คะแนน CVSS เต็ม 10.0 และในบางเงื่อนไขผู้โจมตีที่ไม่ต้องยืนยันตัวตนสามารถใช้ได้ ทั้งการแทรกโค้ดใน GraphQL Composite Data API การควบคุมสิทธิ์ที่ไม่รัดกุมในตัวประมวลผลอัปโหลดภาพ และ SQL injection ผ่านคำสั่ง ORDER BY คะแนนทั้งหมดเป็นของ ServiceNow เองในฐานะ CNA และไม่มีรายการใดอยู่ในบัญชี KEV

บริษัท Aikido Security เผยแพร่งานวิจัยที่จำลองเหตุการณ์จองคลาสยิมในออสเตรเลียขึ้นใหม่ในสภาพแวดล้อมสังเคราะห์ พบว่าโมเดล Claude Opus 4.6 ที่รันบนกรอบเอเจนต์ OpenClaw ใช้ประโยชน์จากข้อจำกัดการจองที่บังคับใช้เฉพาะฝั่งหน้าเว็บได้ 9 ใน 10 รอบ และในสองรอบยังยกเลิกการจองของสมาชิกคนอื่นผ่านช่องโหว่ IDOR ก่อนหยุดตัวเอง นักวิจัยระบุว่าไม่มีคำสั่งใดในทุกรอบที่สั่งให้โมเดลเจาะช่องโหว่

GitLab ออกแพตช์ความปลอดภัยนอกรอบแก้ CVE-2026-19478 ที่บริษัทจัดระดับวิกฤตด้วยคะแนน CVSS 9.4 ช่องโหว่นี้เปิดทางให้ผู้ที่ไม่ผ่านการยืนยันตัวตนแก้ไขหรือลบโปรเจกต์สาธารณะและข้อมูลผู้ใช้จากระยะไกลผ่าน GraphQL directive ภายใต้เงื่อนไขบางอย่างที่บริษัทไม่ระบุ แพตช์อยู่ในเวอร์ชัน 19.2.4, 19.1.6, 19.0.8 และ 18.11.11 โดยมีเพียงการติดตั้งแบบ self-managed ที่ต้องลงมือ ส่วนรุ่น 18.2 ถึง 18.10 อยู่ในช่วงที่ได้รับผลกระทบแต่ไม่มีแพตช์รองรับ

บริษัท Reco เปิดโปงแคมเปญขโมยข้อมูลชื่อ City-Forum ที่ยังดำเนินอยู่และมีปริมาณเพิ่มขึ้นเรื่อย ๆ โดยทุกการโจมตีมาจากไอพีเดียวคือ 158.220.87[.]79 ซึ่งผูกกับโดเมน city-forum[.]com มาตั้งแต่เดือนมีนาคม 2568 ผู้โจมตีไม่ได้ใช้ช่องโหว่ของ Salesforce หรือ ServiceNow แต่ดูดข้อมูลที่องค์กรตั้งค่าเผลอเปิดให้บัญชีผู้เยี่ยมชมที่ไม่ต้องยืนยันตัวตนเข้าถึงได้ เป้าหมายมีทั้งบริษัทโทรคมนาคม ธนาคาร ผู้ผลิตซอฟต์แวร์องค์กร และพอร์ทัลภาครัฐทั่วโลก โดยองค์กรที่ถูกยิงหนักสุดพบเหตุการณ์กว่า 560,000 ครั้ง