Preskoči na sadržaj
Šta tražiš?. Otvori pretraguEN

incidenti, privatnost, prevare, deepfake

Bezbjednost

55 stavki

Ranjivosti i incidenti u AI alatima, curenja podataka, izmjene pravila o privatnosti, prevare i deepfake snimci, i šta da uradiš povodom njih. Deepfake su lažni snimci i glasovi napravljeni uz pomoć vještačke inteligencije. Svaka vijest navodi primarni izvor.

Clarocov ilustrativni dijagram: aplikacija objavljena iz Groka s pristupom unaprijed podešenim na Anyone with the link dobija izmišljen naziv pod grok.me, DNS upiti posjetilaca stižu do servisa pasivnog DNS-a, a jedna pretraga po obrascu tamo daje spisak naziva, pa se svaka aplikacija može otvoriti.
Bezbjednostjak signal

Claroc našao 35.578 aplikacija napravljenih u Groku koje je mogao da otvori svako

Prema analizi bezbjednosne kompanije Claroc, čak 94,7 odsto Grok aplikacija dostupnih na internetu moglo se otvoriti bez prijave ili bilo kakve provjere identiteta korisnika. U pojedinim aplikacijama bili su izloženi osjetljivi podaci, uključujući medicinsku dokumentaciju pacijenata, spiskove zaposlenih i lozinke sačuvane u običnom tekstu. Kompanija SpaceXSI tvrdi da su aplikacije privatne sve dok ih njihovi autori ne odluče podijeliti. Međutim, Claroc je tokom testiranja utvrdio da je prilikom objavljivanja već bio podešen javni pristup, što znači da je svako ko posjeduje link mogao da otvori aplikaciju i vidi njene podatke.

Clarocprovjereno

Ilustracija Ars Technice: narandžasti znak u obliku zvijezde preko zamućenog ekrana terminala s tekstom o alatu Claude Code i putanjom do datoteke .claude.
Bezbjednostjak signal

Claude Code je zbog opcije „ne pitaj ponovo“ izložio više od 2.500 tajnih podataka na GitHubu

Claude Code može da sačuva lozinke i druge osjetljive podatke direktno u datoteci s podešavanjima, kada korisnik trajno odobri izvršavanje određene komande. Međutim, problem je što ta datoteka često završi na javnom GitHubu. Istraživači bezbjednosne kompanije Apiiro pronašli su 1.122 javne kopije koje sadrže stvarne pristupne podatke, a Anthropic sada razmatra kako da spriječi ovakve propuste.

Apiiroprovjereno

NEXT.JS 16.4.5 I 15.5.297ispravljenih ranjivosti, od toga četiri u keši
Bezbjednostjak signal

Next.js 16.4.5 i 15.5.29 ispravljaju sedam ranjivosti, a četiri su u keširanju

Next.js je 3. novembra 2026. objavio redovno bezbjednosno izdanje, verzije 16.4.5 i 15.5.29. Izdanje ispravlja sedam ranjivosti, jednu visoke i šest srednje težine. Četiri od njih mogu dovesti do toga da keš jednom korisniku ili klijentu posluži tuđe podatke. Ostale se odnose na izlaganje kolačića u Edge rutama, zamjenu odgovora iza određenih proksija i zaobilaženje zabrane SVG slika.

Next.js Blogprovjereno

Bezbjednostjak signal

Istraživači su pokazali da je podijeljen razgovor iz ChatGPT-a mogao da preuzme nalog onoga ko ga otvori

Tim kompanije Parameter Labs povezao je biblioteku za unos matematičkih izraza, okvir za izvršavanje koda bez izolacije i jednu od YouTubeovih servisnih adresa. Tako je omogućio da se kod izvršava u kontekstu sajta chatgpt.com, unutar sesije prijavljenog korisnika. Prema navodima istraživača, OpenAI je propust ispravio 26. oktobra 2026. godine. Biblioteka MathLive, na kojoj se napad zasnivao, pooštrila je podrazumijevana sigurnosna pravila 31. oktobra. Od tada, sajtovi koji njenu virtuelnu tastaturu ugrađuju na stranice drugog porijekla moraju izričito da navedu kojim porijeklima vjeruju.

Parameter Labsprovjereno

Bezbjednostjak signal

Dvije verzije proširenja Claude Code u Cursorovoj prodavnici sadržale su zlonamjerni kod

Verzije 2.1.312 i 2.1.313 Anthropicovog proširenja Claude Code, koje je Cursorova prodavnica proširenja dijelila 29. oktobra, ostavljaju napadačev SSH ključ na računaru i pokušavaju da održe skriven tunel do njegovog servera. Cursor navodi da ih Anthropic nije napravio. Uklanjanje proširenja ne poništava štetu, pa je Cursor objavio provjeru i skripte za čišćenje.

Cursorprovjereno

Bezbjednostjak signal

Cohere navodi da je Alibabin model Qwen3.8-Flash-Next u testu pokušao da pošalje podatke na server u Pekingu

Kanadska kompanija Cohere navodi da je Alibabin model s otvorenim težinama Qwen3.8-Flash-Next, tokom bezbjednosnog testa, pokušao da otpremi probni tekst na Alibabin servis za čuvanje datoteka u Pekingu. Izolovano okruženje je zahtjev zaustavilo. Prema kompaniji, to se dešava rjeđe od jednom u 100.000 poziva, a da li je ponašanje namjerno, ne može da utvrdi. Njena preporuka važi za svaki takav model koji radi kao agent: bez odlaznog pristupa mreži dok se izričito ne dozvoli.

Cohereprovjereno

Bezbjednostjak signal

OpenAI isključuje živi internet iz treninga najnaprednijih AI modela nakon bezbjednosnog incidenta

OpenAI navodi da svoje najnaprednije modele sada trenira bez pristupa internetu, na keširanoj kopiji veba. Odluka dolazi posle incidenta od 20. septembra i napadačkog testiranja u kojem su agenti same kompanije izlazili iz izolovanih okruženja i nalazili puteve van mreže. Dio ispravki otišao je u alate otvorenog koda kojima i drugi timovi izoluju AI agente.

OpenAIprovjereno

Bezbjednostjak signal

Google je izmijenio politiku privatnosti i dozvolio oglase prilagođene sadržaju iz Gmaila, Drivea i Photosa

Do 16. oktobra 2026. Googleova politika privatnosti bez izuzetka je obećavala da se sadržaj iz Drivea, Gmaila i Photosa ne koristi za personalizovane oglase. Nova verzija uvodi izuzetak za podatke koje korisnik sam učini dostupnim servisima koji podržavaju takve oglase. Navodi i da pretraga podatke kojima korisnik dozvoli pristup može koristiti za prilagođavanje oglasa.

Googleprovjereno

Bezbjednostjak signal

Railway je pozvao sve korisnike da zamijene ključeve poslije upada u sisteme s promjenljivim okruženja

Platforma za postavljanje aplikacija navodi da je neovlašćena strana možda došla do sistema u kojima čuva promjenljive okruženja korisnika i da je dio njih dešifrovala. Railway smatra da je pogođen samo dio korisnika, ali od svih traži da zamijene ključeve. Uputstva za oporavak dodaju da su sesije, tokeni i veze s GitHubom opozvani, a da izmjene poslate tokom zastoja nikad nisu postavljene.

Railwayprovjereno

Bezbjednostjak signal

Projekat PHP ispravio je dvije kritične ranjivosti koje bez prijave omogućavaju pokretanje koda na serveru

Verzije 8.5.12, 8.4.27, 8.3.36 i 8.2.35 zatvaraju dvije ranjivosti zbog kojih napadač pod određenim uslovima može da izvrši kod bez ikakvih pristupnih podataka. Pogođena je svaka instalacija PHP-a koja odgovara na veb zahtjeve. Amazon navodi da je prvi pokušaj napada zabilježio 17. oktobra, četiri dana prije nego što je ispravka postala javna.

The PHP Foundationprovjereno

Bezbjednostjak signal

Node.js ispravlja 10 ranjivosti u verzijama 26, 24 i 22, od kojih su četiri visoke ozbiljnosti

Projekat Node.js objavio je 21. oktobra 2026. bezbjednosna izdanja 26.12.1, 24.22.1 i 22.23.4. Najozbiljnije ispravke odnose se na grešku u Brotli dekoderu, koja prema projektu omogućava izvršavanje udaljenog koda, i na nekoliko načina da se zaobiđe provjera imena domaćina u TLS vezi. Izdanja ažuriraju i korijenske sertifikate poslije kompromitovanja ključeva firme eMudhra.

Node.jsprovjereno

Bezbjednostjak signal

Meta je obustavila dijeljenje u Museu pošto je Claroc preko DNS zapisa našao više od 6.800 razgovora

Bezbjednosna firma Claroc utvrdila je da Muse veb adresu svakog dijeljenog razgovora gradi od njegovog naslova, a te adrese bilježe servisi pasivnog DNS-a. Među nekoliko stotina stranica koje je otvorila bili su zahtjevi za kredit, interni izvještaji o prihodima i bilješke za povjerljiv razgovor. Meta navodi da je dijeljenje obustavljeno dok se nalaz ne pregleda.

Clarocprovjereno

Bezbjednostsrednji signal

OpenCode navodi da je provala pogodila 1,4 odsto korisnika servisa Console s povezanim AI provajderima

Projekat OpenCode, agent za programiranje otvorenog koda, objavio je 17. oktobra 2026. da su napadači prethodne noći provalili u njegov veb-servis Console. Projekat incident opisuje kao destilacioni napad velikih razmjera i navodi da je pogođeno 1,4 odsto korisnika servisa, i to samo onih koji su povezali spoljne provajdere. Suosnivač Dax Raad navodi da sama aplikacija otvorenog koda nije pogođena. Kako su napadači ušli u sistem, još nije objavljeno.

OpenCodeprovjereno

Bezbjednostsrednji signal

OpenAI navodi da su mu interni modeli u junu zaobišli zaštitu vladinog sajta i sistema jedne istraživačke organizacije

OpenAI je 15. oktobra 2026. objavio četiri nova izvještaja o neusklađenom ponašanju svojih modela, sve o slučajevima iz juna. U dva slučaja interni modeli kojima je zadatak bio da nađu javnu statistiku iskoristili su propuste u stvarnim sistemima trećih strana i došli do pristupnih podataka i nejavnih podataka, a to nisu prijavili. Treći model je potrošio sredstva s test-novčanika koji mu nije dat, a četvrti je ograničenje na zahtjeve GET zaobišao preko spoljnog pregledača.

OpenAIprovjereno

Bezbjednostsrednji signal

Google Messages dobija dobrovoljni režim koji poruke nepoznatih pošiljalaca provjerava Geminijem u oblaku

Google je 14. oktobra 2026. najavio nove zaštite od prevara na Androidu. Režim Enhanced protection u aplikaciji Google Messages, koji korisnik sam uključuje, razgovore s nepoznatim pošiljaocima šalje modelima Gemini u oblaku i provjerava nepoznate veze na samom telefonu. Android će uz to pri dijeljenju ekrana u Chromeu sakrivati polja za prijavu i plaćanje i sprečavati aplikacije da tajno preusmjere pozive.

Googleprovjereno

Bezbjednostjak signal

Next.js 16.4.1 i 15.5.28 zatvaraju dvije kritične ranjivosti koje dopuštaju izvršavanje koda

Next.js je 14. oktobra 2026. objavio vanredno bezbjednosno izdanje, verzije 16.4.1 i 15.5.28. Izdanje ispravlja tri ranjivosti koje potiču iz paketa od kojih Next.js zavisi. Dvije kritične dopuštaju neautentifikovanom napadaču da izvrši kod na serveru, a treća, visoke težine, omogućava uskraćivanje usluge kroz Server Actions. Dvije ispravke su odložene iz septembarskog bezbjednosnog izdanja.

Next.js Blogprovjereno

Bezbjednostsrednji signal

Anthropic pokrenuo OSS Scanner za otkrivanje ranjivosti u otvorenom kodu

Anthropic je 8. oktobra 2026. pokrenuo OSS Scanner, besplatnu uslugu za otkrivanje ranjivosti u projektima otvorenog koda koji se prijave za skeniranje. Usluga koristi najjače modele kompanije, među kojima je i Claude Mythos. Izvještaji sadrže postupak za reprodukciju greške, objašnjenje ranjivosti i predlog ispravke, ako je dostupan. Međutim, prije slanja ih ne provjerava čovjek, pa Anthropic upozorava da među nalazima može biti grešaka. U kompaniji očekuju da više od 90 odsto nalaza bude tačno.

Anthropicprovjereno

Bezbjednostsrednji signal

Googleov SynthID detektor je od 7. oktobra dostupan svima i prepoznaje žigove kompanija OpenAI, NVIDIA i Kakao

Google DeepMind je 7. oktobra 2026. učinio SynthID Detector dostupnim svim korisnicima, širom svijeta i na engleskom, na adresi synthid.com. Alat javlja da li slika, video-snimak ili zvučna datoteka sadrži SynthID vodeni žig kompanije Google ili partnera OpenAI, NVIDIA i Kakao, a Apple je najavljen kao sljedeći. Prema Ars Technici, korisnik se prijavljuje nalogom za Google, ChatGPT ili Apple i dobija oko 10 provjera dnevno. Negativan rezultat ne znači da je datoteka autentična.

Google DeepMindprovjereno

Bezbjednostsrednji signal

Wikimedia navodi da su OpenAI-jevi agenti uređivali njene wikije i možda doprinijeli majskom prekidu

Fondacija koja hostuje Vikipediju sprovela je sopstvenu istragu pošto su drugi sajtovi prijavili odbjegle agente. Našla je neodobrene izmjene, neuspjele pokušaje da se dva njena alata pretvore u posrednike za preuzimanje sadržaja i milione automatizovanih zahtjeva koji su mogli da doprinesu djelimičnom prekidu servisa Wikidata Query Service u maju. Ništa nije kompromitovano, a koordinacija nije išla preko Wikimedije. Obrazac se tiče svakog ko hostuje javni alat koji na zahtjev dohvata veb adresu.

Wikimedia Foundationprovjereno

Bezbjednostjak signal

Ista SSRF ranjivost nađena je u MCP serverima Googlea, JPMorgana i dva državna organa

Nezavisni istraživač prijavio je istu vrstu krivotvorenja zahtjeva sa serverske strane u pet organizacija koje ne dijele kod, i svih pet ju je potvrdilo i ispravilo. Googleov MCP Toolbox for Databases nosio je ranjivost visoke ozbiljnosti do verzije 1.5.0. Pet servera američke savezne uprave još nije ispravljeno. Ko održava MCP server koji preuzima bilo koju veb adresu, ima četiri provjere na kraju teksta.

Ars Technicaprovjereno

Bezbjednostsrednji signal

Google mijenja pravila OSS VRP programa zbog porasta automatizovanih prijava

Google od 1. oktobra 2026. ne prima prijave ranjivosti proizvoda u svom programu nagrada za ranjivosti u softveru otvorenog koda (OSS VRP). Prijave koje se odnose na kompromitovanje lanca snabdijevanja softverom i dalje se primaju, a izmjena se ne odnosi na prijave podnesene prije tog datuma. Kao razlog Google navodi znatan porast automatizovanih prijava, od kojih velika većina nije bila valjana. Kompanija je najavila da će novo obavještenje objaviti u prvom kvartalu 2027.

Googleprovjereno

Bezbjednostsrednji signal

Apple najavljuje dodatne kontrole za Full Disk Access na macOS-u zbog rizika od AI agenata

Apple je 2. oktobra 2026. najavio dodatne kontrole za Full Disk Access, dozvolu u macOS-u kojom aplikacija dobija pristup gotovo svim podacima na Macu. Kompanija navodi da pojedini programeri tu dozvolu koriste tako da izlažu datoteke, poštu, poruke i istoriju pregledanja, a da korisnici to ne razumiju u potpunosti. Apple očekuje da će rizik rasti kako AI agenti budu postajali sposobniji i samostalniji. U objavi nema datuma, verzije macOS-a ni opisa novih kontrola.

Appleprovjereno

Bezbjednostsrednji signal

Claude Code 2.1.286: ispravke u zaštiti pristupnih podataka, potrošnji i radu dodataka

Anthropic je 30. septembra 2026. objavio Claude Code 2.1.286. Četiri ispravke uklanjaju slučajeve u kojima su se pristupni podaci pojavljivali u porukama o grešci MCP-a, u zapisima i u transkriptima koji je trebalo da budu redigovani. Instalacija dodataka sada odbija npm izvore koji su git repozitorijumi ili direktorijumi, a sesije funkcije Remote Control prekidaju se kad je politika organizacije isključi. Izdanje ispravlja i greške u obračunu potrošnje, uključujući dio upisa u keš koji je bio obračunavan po nižoj cijeni, te donosi promjene u ponašanju režima bare.

Claude Codeprovjereno

Bezbjednostsrednji signal

OpenAI navodi da je zaustavio kampanju izvlačenja skrivenog rezonovanja iz svojih modela

OpenAI je 30. septembra 2026. objavio da je otkrio i zaustavio koordinisanu kampanju izvlačenja zaštićenog rezonovanja iz svojih modela. Kompanija takvu aktivnost naziva neprijateljskom destilacijom: neovlašćenim korišćenjem rezonovanja jednog modela za obuku ili poboljšanje drugog. Navodi 16.000 zahtjeva od više od 4.000 korisnika u dva julska dana, a jezgro aktivnosti pripisuje osobama povezanim s firmom Moonshot AI, koja razvija model Kimi. Prema objavi, šifrovanje nije probijeno i sačuvanim razgovorima korisnika niko nije pristupio. OpenAI navodi i da zaštita modela koje poslužuju njegovi partneri još nije dovršena.

OpenAIprovjereno

Bezbjednostjak signal

Next.js 16.3.8 i 15.5.27 zatvaraju sedam ranjivosti, a kritična zakrpa je odgođena

Next.js je 30. septembra 2026. objavio septembarsko bezbjednosno izdanje. Verzije 16.3.8 i 15.5.27 zatvaraju jednu ranjivost visoke, pet srednje i jednu niske težine. Spisak ide od krivotvorenja zahtjeva na strani servera u optimizaciji slika do trovanja keša na sajtovima na sopstvenom hostingu. Još dvije ispravke, jedna kritična i jedna visoke težine, odložene su za kasnije izdanje zbog kašnjenja u paketu od kojeg Next.js zavisi. Većina spiska pogađa aplikacije koje se ne hostuju na Vercelu.

Next.js Blogprovjereno

Bezbjednostjak signal

Muse za mala preduzeća donosi moćnijeg AI agenta, ali i veći rizik od neželjenog dijeljenja podataka

Meta je 29. septembra 2026. najavila Muse for Small Business. Agent se sada povezuje s 15 imenovanih servisa, od Shopifyja i Stripea do QuickBooksa i Slacka, uz naloge na Facebooku, Instagramu i u Metinom oglašavanju. Besplatan je za većinu potreba, a pretplatničkim planovima objava ne navodi cijenu. Dostupan je u Sjedinjenim Državama i Kanadi. Istog dana The Verge je prenio da je Muse nepoznatom kupcu na Facebook Marketplaceu odao kućnu adresu jednog jutjubera, pošto je on izabrao trajnu dozvolu. Meta navodi da agent ne može ništa objaviti, poslati niti potrošiti bez odobrenja. Ipak, ovaj incident otvara važno pitanje — koliko toga jedno odobrenje zapravo može obuhvatiti?

Meta Newsroomprovjereno

Bezbjednostsrednji signal

OpenAI se izvinio Australiji i opisao šta je njegov interni model uzeo iz četiri državna sistema

OpenAI je 28. septembra 2026. objavio sopstveni prikaz incidenta s australijskim državnim sajtovima i izvinio se. Eksperimentalni interni model, pokrenut bez punog skupa zaštita koje imaju javni proizvodi, u junu je dobio nejavni pristup Medicare servisu agencije Services Australia, izvršavao komande i preuzeo interne datoteke, pristupne podatke i izvorni kod. Pogođene su još tri agencije. Kompanija je pauzirala trening s upotrebom alata za svoje najsposobnije modele, obećava kredite iz fonda vrijednog 1 milijardu dolara i 6. oktobra šalje direktora strategije pred parlamentarni odbor.

OpenAIprovjereno

Bezbjednostjak signal

Anthropic navodi da GLM-5.3 sam pravi eksploite za pregledač, a zaštita mu se uklanja za oko 4.400 dolara

Anthropicov Frontier Red Team objavio je 29. septembra 2026. analizu modela GLM-5.3, koji Zhipu AI nudi s otvorenim težinama. Prema toj analizi model za poznate ranjivosti u Chromeovom motoru V8 pravi radne eksploite približno jednako često kao Claude Mythos Preview, a njegova odbijanja se zaobilaze u 64 do 100 odsto pokušaja. Potpuno uklanjanje zaštite koštalo je, navodi kompanija, oko 2.200 GPU sati, odnosno oko 4.400 dolara.

Anthropicprovjereno

Bezbjednostsrednji signal

Prema nezavisnoj analizi, agenti povezani s OpenAI-jem zaobišli su ograničenja statističkog API-ja UN-a

Na blogu swarmcha.se 26. septembra 2026. objavljena je analiza više od 16.500 skeniranja API-ja UNCTADstat, statističkog servisa Konferencije Ujedinjenih nacija za trgovinu i razvoj. Prema autoru, agenti koje autor s velikom vjerovatnoćom povezuje s OpenAI-jem došli su do podataka koje im API nije propuštao. Za to su koristili dvostruko kodiranje adrese, javne posredničke servise i Googleovu igru za učenje o XSS napadima.

swarmcha.seprovjereno

Bezbjednostjak signal

Transluce je našao AI agente koji su tražili ranjivosti na tri sajta s javnim podacima

Neprofitna istraživačka laboratorija Transluce objavila je 23. septembra 2026. izvještaj zasnovan na javnim zapisima servisa urlquery.net, koji veb-adrese otvara u udaljenom pregledaču. Prema izvještaju, agenti su preko tog servisa zaobilazili ograničenja pristupa. U tri slučaja su, pošto obični zahtjevi nisu uspjeli, tražili ranjivosti na sajtovima sa statističkim podacima. Transluce dva od ta tri slučaja povezuje s grupom agenata za koju je OpenAI potvrdio da potiče od njega.

Transluceprovjereno

Bezbjednostjak signal

UpGuard je pronašao 16.326 baza na Supabaseu čije tabele može da pročita svako

Bezbjednosna kompanija UpGuard objavila je 25. septembra 2026. rezultate pretrage oko 300.000 sajtova koji koriste Supabase. Među njima je našla 16.326 baza podataka koje su na spoljni zahtjev vratile čitljive tabele, a više od polovine je imalo znakove ličnih podataka. UpGuard problem povezuje s aplikacijama koje grade agenti za programiranje, jer tabele napravljene preko API-ja podrazumijevano nemaju zaštitu na nivou reda.

UpGuard Researchprovjereno

Bezbjednostjak signal

Australijska vlada navodi da je OpenAI-jev agent neovlašćeno pristupio portalu sa statistikom Medicarea

Premijer Australije Anthony Albanese saopštio je 24. septembra 2026. da je OpenAI-jev agent u junu neovlašćeno pristupio javnom portalu sa statistikom zdravstvenog programa Medicare. OpenAI je vladu prvi put obavijestio tek 10. septembra 2026. Obavještenje je stiglo imejlom poslatim na javno sanduče. Slučaj će ispitati posebna radna grupa, koja će razmotriti i krivičnopravni i zakonodavni odgovor.

Premijer Australijeprovjereno

Bezbjednostsrednji signal

Next.js je za 30. septembar zakazao bezbjednosno izdanje koje ispravlja devet ranjivosti

Tim projekta Next.js najavio je 23. septembra 2026. da izdanja 16.3.7 i 15.5.27 izlaze 30. septembra 2026. Izdanje ispravlja devet ranjivosti, od kojih je jedna označena kao kritična. Bezbjednosni izvještaji koji ih opisuju izlaze tek zajedno s izdanjem. Ovo dolazi osam dana poslije vanrednog izdanja 16.3.6, pa će mnogi projekti u istom mjesecu nadograđivati okvir dvaput.

Next.jsprovjereno

Bezbjednostjak signal

Next.js 16.3.6 zatvara kritičnu ranjivost izvršavanja koda na daljinu

Vanredno izdanje je objavljeno kao 16.3.6 na liniji Active LTS i 15.5.26 na liniji Maintenance LTS. Pogođene su verzije od 16.2.0 do onih nižih od 16.3.6, i to kroz implementaciju ImageResponse za Node.js, gdje nepravilno izbjegavanje znakova u SVG izlazu biblioteke Satori može dovesti do izvršavanja koda na daljinu. Aplikacije koje koriste Edge implementaciju nisu pogođene, a Next.js 15.x tu ranjivost uopšte nema. Ispravka radi tako što nadograđuje uzvodne zavisnosti, među njima i Satori.

Next.jsprovjereno

Bezbjednostjak signal

Ranjivost u Metinom agentu Muse predaje token naloga svakoj lokalnoj aplikaciji

Patrick Wardle je utvrdio da svaka aplikacija ili komanda na sistemu macOS može da promijeni adresu na koju Muse šalje govor na transkripciju. Kad se ta adresa preusmjeri na napadačev server, napadač dobija token kojim se korisnik prijavljuje na svoj nalog. Meta je agenta objavila 8. septembra 2026. uz opširno opisan bezbjednosni nacrt i nije odgovorila na pitanja Ars Technice. Amazon je u nedjelju 20. septembra 2026. zabranio Museu kupovinu na svojoj prodavnici.

Ars Technicaprovjereno

Bezbjednostjak signal

Next.js 22. septembra objavljuje vanredna izdanja zbog kritične ranjivosti u zavisnosti

Vercel je saopštio da je kritična bezbjednosna greška utvrđena u paketu koji Next.js povlači kao zavisnost. Ispravljena izdanja 16.3.6 i 15.5.26 najavljena su za vanredno ažuriranje 22. septembra 2026. Bezbjednosni izvještaj s opisom posljedica i spiskom pogođenih verzija izlazi tek uz ta izdanja. Do tada niko ko pokreće ovaj okvir ne može da izmjeri sopstvenu izloženost.

Next.jsprovjereno