Javascript

นักวิจัยจากบริษัท Endor Labs เปิดเผยช่องโหว่วิกฤตใน isolated-vm ไลบรารีของ Node.js ที่ใช้รันจาวาสคริปต์ที่ไม่น่าเชื่อถือใน V8 Isolate ช่องโหว่ GHSA-864f-rcv7-6rh4 เป็น type confusion ในคลาส ExternalCopy ที่ทำให้โค้ดในแซนด์บ็อกซ์เขียนทับหน่วยความจำของโปรเซสหลักได้ ผลกระทบต่ำสุดคือทำให้โปรเซสล่ม สูงสุดคือยึดการควบคุมการทำงานของโปรเซสหลักจนอาจนำไปสู่การรันโค้ดจากระยะไกล กระทบทุกเวอร์ชันถึง 7.0.0 แก้แล้วใน 6.2.0 และ 7.0.1

บริษัท Beacon ผู้ให้บริการ CRM สำหรับองค์กรการกุศลในสหราชอาณาจักร เปิดเผยสาเหตุที่น่าจะเป็นของเหตุข้อมูลรั่วที่กระทบลูกค้าจำนวนมาก การสอบสวนพบว่าผู้โจมตีดึงข้อมูลออกจากสภาพแวดล้อม AWS ด้วยคีย์เข้าถึงที่อาจหลุดอยู่ในไฟล์ JavaScript ที่เผยแพร่สู่สาธารณะ กิจกรรมแรกสุดเกิดขึ้นวันที่ 27 กรกฎาคม และบริษัทประเมินว่าผู้โจมตีส่งออกข้อมูลทั้งฐานข้อมูล องค์กรที่ได้รับผลกระทบระบุว่าครอบคลุมลูกค้าทั้งหมดกว่า 1,000 ราย

ผู้โจมตีแก้ไขไฟล์จาวาสคริปต์ trackpoint-async.js ที่บริษัท Adform ให้บริการอยู่ ให้กลายเป็นเครื่องมือสลับที่อยู่กระเป๋า Bitcoin, Ethereum และ Tron ในเบราว์เซอร์ของผู้เข้าชมเว็บไซต์ลูกค้า Adform ตรวจพบเมื่อวันที่ 27 กรกฎาคม 2569 ลบโค้ดออกและแจ้งลูกค้ากับหน่วยงานรัฐแล้ว โค้ดเปลี่ยนทั้งค่าที่คัดลอกในคลิปบอร์ดและค่าที่พิมพ์ลงช่องกรอก และไม่มีระบบตรวจจับใดแจ้งเตือน ขอบเขตความเสียหายที่แท้จริงยังไม่มีการเปิดเผย

นักวิจัย Microsoft เปิดเผยห่วงโซ่การโจมตีชื่อ AutoJack ที่เปลี่ยน AI browsing agent ให้กลายเป็นช่องทางรันโค้ดทางไกล เพียงหลอกให้ agent เปิดเว็บเพจของผู้โจมตี JavaScript บนหน้านั้นก็เข้าถึง local service ที่มีสิทธิ์สูงและสั่งรันโปรเซสบนเครื่องได้ ช่องโหว่อยู่ใน AutoGen Studio บน MCP WebSocket ที่ไว้ใจ localhost ข้าม auth และรับคำสั่งตรงจาก request โดยไม่ตรวจ build เสถียร 0.4.2.2 ไม่ได้รับผลกระทบ แต่ pre-release 0.4.3.dev1/dev2 มีช่องโหว่

GitHub ประกาศว่า npm เวอร์ชัน 12 ที่คาดว่าจะออกในเดือนกรกฎาคมจะเปลี่ยนพฤติกรรมสำคัญ โดย npm install จะไม่รันสคริปต์ preinstall, install หรือ postinstall จาก dependency อีกต่อไป ยกเว้นได้รับอนุญาตอย่างชัดแจ้ง เพื่อปิดช่องทางโจมตี supply chain ที่ถูกใช้ในเหตุการณ์ใหญ่หลายครั้งช่วงที่ผ่านมา

บริษัท ANY.RUN เปิดเผยมัลแวร์ใหม่ JS.MonoGlyphRAT ที่ปลอมเป็นเอกสารธุรกิจอย่างใบสั่งซื้อหรือใบเสนอราคา ส่งเป็นไฟล์ JavaScript แนบอีเมลฟิชชิง เมื่อพนักงานเปิด ผู้โจมตีได้เข้าถึงเครือข่ายแบบถาวร จุดเด่นคือใช้ obfuscation สร้างชื่อตัวแปรจากอักขระซ้ำสลับพิมพ์เล็กใหญ่ ทำให้อ่านโค้ดยากมาก และยังขึ้นเป็น Unknown malware บน VirusTotal/ThreatFox ทำให้ AV แบบ signature ตรวจไม่เจอ มุ่งเป้าองค์กรสหรัฐฯ ในภาคเทคโนโลยี MSSP โทรคมนาคม การศึกษา พบในเยอรมนี สวีเดน ออสเตรเลียด้วย