Mitigation The best way to protect yourself is to update WordPress immediately. WordPress 7.0.2 contains the fix (or 6.9.5 if you are on the 6.9 branch). Until you can update, there are multiple mitigation options: Install the plugin Disable WP REST API to disable unauthenticated users from using the WordPress API. This is the easiest option but does have a possible low risk of breaking existing f
Right now, somewhere in your organization, a service account token is sitting in a CI/CD environment variable with access to your entire cloud environment. The job it was created for got deleted three sprints ago, and nobody knows it's still there. Unfortunately, that’s not just a worst case scenario. For many teams it's a byproduct of how they manage credentials today. Someone in your organizatio
Dependabot version updates introduce default package cooldown Dependabot now waits until a new release has been available on its registry for at least three days before opening a version update pull request. This cooldown is now the default and requires no configuration. New releases are a common entry point for supply chain attacks where a compromised or broken version can reach your dependency u
はじめに 2026年7月9日、AWS Config のマネージドルールが一度に191個追加されました。 対象は ECS、Bedrock、RDS、S3 をはじめとする30以上のサービスです。セキュリティ・コンプライアンス観点でリソース構成を評価するルールが追加されています。 本記事では、追加されたルールの中から ECS_NO_ENVIRONMENT_SECRETS を実際に有効化し、指定したキー名の環境変数を持つ ECS タスク定義が NON_COMPLIANT として検出される様子を確認します。あわせて、191個のルールから特に有益そうなものをピックアップして紹介します。 検証内容 ECS_NO_ENVIRONMENT_SECRETS ルールの概要 ECS タスク定義のコンテナ環境変数名が、secretKeys に指定したキー名と一致するかをチェックするルールです。環境変数の値そのものを解
AWS Security Hub now offers Network Scanning to identify publicly reachable resources - AWS
AWS Security Hub now offers Network Scanning to identify publicly reachable resources Today, AWS Security Hub introduces Network Scanning, a capability that identifies resources in your environment that are reachable from the public internet. Network Scanning probes your resources from the internet to detect actual reachability, not just what could be reachable based on security group rules and r
Ask ten frontend developers where to store a login token, and you'll get four answers and an argument. And because each approach addresses different concerns, the debates continue without resolution. So let's clarify once and for all: What are the options to store a token, which are the most secure and what are the use cases. I go much deeper on XSS and CSRF in my FREE frontend security course, bu
ICML 2026 Charles Ye, Jasmine Cui, Dylan Hadfield-Menell Extended writeup (June 2026) A Theory of Prompt Injection (and why you should study roles) This is a blog-style writeup of the paper. We show prompt injections are driven by a flaw in how LLMs perceive roles. This lets us create new attacks, explain mech interp results, and predict when attacks succeed. We then discuss what roles are and why
以下、なぜこの結論になるのかを順に書きます。 そもそもVPC内は盗聴できるのか 最初に確認したかったのは、「物理的に同じLANにぶら下がっていて、他人のパケットが流れてくる」という昔のオフィスLANのイメージが、VPCにも当てはまるのか、でした。当てはまりません。 AWSのVPCは物理的な共有LANではなく、SDNの上に作られた仮想ネットワークです。この「オンプレのL2スイッチング（同じセグメントにフレームが流れ、隣の通信も物理的には見え得る）」と「VPCのSDN（パケットが宛先ごとに個別に転送される）」の違いが、今回の議論の出発点です。SDNとしての全体像はIvan Pepelnjak氏の "AWS Networking 101"（ipspace.net, 2020）が分かりやすく、盗聴の可否に直結する挙動は、AWSのLogical Separation on AWS（ホワイトペーパー）
Detect homograph attacks, terminal injection, and supply-chain threats before they execute. 200+ rules, zero latency, offline by default. GitHub - sheeki03/tirith: Terminal security for developers and AI agents. Intercepts homograph URLs, pipe-to-shell, ANSI injection, obfuscated payloads, data exfiltration, and malicious AI skills/configs before they execute. Terminal security for developers and
GitHub Actions now issues read-only cache tokens to the default branch for workflow events that can be triggered without write permissions to the repository. This applies least privilege to the cache and prevents common privilege-escalation paths through cache poisoning. Previously, the Actions service issued read-write cache tokens for every workflow event, including triggers like pull_request_ta
Menu. Currently selected: What you can do with macOS runners Organizations now have more control over who can use GitHub-hosted runners in Actions. Admins can now disable the standard labels for hosted runners such as ubuntu-latest, as well as add macOS runners to runner groups. What you can do with macOS runners Restrict access to macOS runners: Limit which organizations, repositories, or workflo
はじめに こんにちは。calloc134 です。 最近技術記事書けてなかったのでリハビリがてら書いております〜〜〜 実は昨年12月から1月にかけて、Honoの脆弱性を修正していました。 修正・報告を支えてくださったHono開発者の @yusukebe さん、コアメンテナの @usualoma さんには改めて感謝申し上げます！ 今回は、自分が調査・修正検討に携わった HonoのJWT/JWKミドルウェアの脆弱性について、 どのように修正したか、どのようなことに気をつけたか・・・などを、 できるだけわかりやすく解説していきたいと思います。 脆弱性の概要 該当の脆弱性は、 2026 年 1 月に公開されたセキュリティアドバイザリ GHSA-f67f-6cw9-8mq4 (JWT Middleware) と GHSA-3vhc-576x-3qv4 (JWK Middleware) の 2 件です。
はじめに GitHubの公式CLIであるghコマンドはべんりですが、非常に強い権限を持っているので攻撃する側から見ても魅力的です。特に gh auth token コマンドを実行するだけで簡単にGitHubトークンを抜けることは、もはや公然の秘密というか、みんな見て見ぬふりをしている大きな穴です。さらに都合の悪いことに、GitHubの公式CLIのOAuth Appで認証すると、このトークンには repo 権限があるので、自分がアクセス可能なプライベートリポジトリを読み書きでき、有効期限も設定されていないので、トークンが漏洩した場合の影響が大きくなりがちです。最近のマルウェアは個人のローカル端末を狙う攻撃が増えてきているので、GitHubトークンを抜かれた場合のダメージを如何に最小化するかというのは重要な課題です。 最初に思いつく代替案は、GitHub Fine-grained PATを使う
Pull requests created by the github-actions[bot] are now able to run your CI/CD workflows with user approval. Requiring approval is a security measure to ensure generated code does not automatically run workflows which may have access to sensitive information. This matches the behavior of Copilot-generated pull requests. Previously, pull requests generated by github-actions[bot] were not able to r
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
