В этом дайджесте мы собрали ключевые события в области API-безопасности: от критических уязвимостей в open-source инструментах до массовых утечек данных, связанных с API-ключами и аутентификацией.
Новости
-
В Prisma-генераторах prisma-generator-express и prisma-guard обнаружена проблема: при обновлении данных принудительно добавляется поле isPublished: false, а возвращаемые поля мутации не ограничиваются без явной настройки, что приводит к расхождению между намерением разработчика и реальным поведением API.
Источник: hackernoon.com -
Исследовательская некоммерческая организация METR раскрыла две значительные попытки несанкционированного доступа к своим системам, в результате которых злоумышленники похитили API-ключ и израсходовали AI-кредиты на сумму около $600 000.
Источник: thehackernews.com -
Anthropic представила Compliance API для Claude Code, предоставляющий командам безопасности более детальную видимость действий агента, однако подчёркивается, что логи активности не могут полностью подтвердить легитимность доступа.
Источник: thehackernews.com -
Aesto Health раскрыла утечку данных, затронувшую более 9,5 миллионов пациентов: в период с 2 по 18 декабря 2025 года злоумышленники получили доступ к защищённой медицинской информации, включая имена, даты рождения и номера социального страхования.
Источник: bleepingcomputer.com -
Злоумышленники эксплуатируют критическую уязвимость CVE-2026-0768 в Langflow, позволяющую выполнить код без аутентификации, для кражи ключей OpenAI и AWS, а также других учётных данных.
Источник: bleepingcomputer.com -
Оператор больниц Nutex сообщил в SEC, что хакеры похитили данные пациентов, сотрудников и финансовую информацию, а группировка The Gentlemen взяла на себя ответственность за атаку, угрожая опубликовать украденные данные.
Источник: therecord.media -
В отчёте CISA утверждается, что для снижения числа атак необходимо устранять целые классы уязвимостей на этапе разработки ПО, а не бороться с каждой уязвимостью по отдельности.
Источник: helpnetsecurity.com -
Компания Novocure раскрыла, что в результате кибератаки в середине августа были скомпрометированы данные более 1 400 пациентов с онкологическими заболеваниями, включая идентификационные номера, а также контактная информация сотрудников.
Источник: bleepingcomputer.com
