Zod 4.6.6 曝 npm 供应链投毒：恶意 preinstall 借以太坊合约取指令
10 月 11 日至 12 日，TypeScript 校验库 Zod 的仓库主分支被曝推入恶意 preinstall 脚本，安装时经以太坊智能合约取指令并执行二级载荷；恶意版本最终未进入 npm 正式分发包。
开发安全
LLM 提示注入防御实战：大模型应用安全配置
提示注入防御实战教程：从系统提示固化、零宽字符清洗与风险打分、工具调用最小权限白名单，到输出 JSON 校验、RAG 间接注入文档清洗与审计告警，给出六层纵深防御配置与可直接执行的攻击载荷验收清单。
恶意 Terraform provider 投毒：假字体文件投递跨平台后门
Zscaler ThreatLabz 披露恶意 Terraform provider 投毒活动：名为 terraform-provider-awsbeta_v1.0.0 的恶意 provider 在加载时执行代码，用伪装成字体的 .woff 文件投递 FLATROOF 与 ROOFDECK 后门。
GhostAction 复活：恶意 GitHub Actions 工作流植入数万仓库窃取密钥
供应链攻击活动 GhostAction 复活：攻击者用被盗维护者凭证向数万个 GitHub 仓库植入伪装成安全审计的 Actions 工作流，遍历 git 历史窃取 AWS、OpenAI、Anthropic 密钥并明文回传。
STRIDE 威胁建模实战：pytm 自动化分析
威胁建模 STRIDE 实战教程：用 pytm 把数据流图写成 Python 代码，自动匹配内置威胁规则输出威胁清单、DFD 与序列图，支持自定义业务规则并纳入 CI 严重度门槛拦截，附风险排序与整改闭环方法。
智能合约重入攻击防御实战：Slither 审计
智能合约重入攻击防御教程：以可复现的脆弱取款合约为例，用 Slither 定位重入风险、用 Foundry 攻击测试证明漏洞可利用，再按 CEI 顺序与 ReentrancyGuard 修复并接入 CI 回归，附完整合约代码。
Semgrep 代码审计实战：SAST 自动化扫描配置
Semgrep 代码审计实战教程：用官方规则集跑基线扫描，以自定义 taint 规则追踪用户输入到危险函数的传播路径，再接入提交钩子与持续集成实现增量阻断，附规则文件、CI 配置与误报治理方法。
批量赋值漏洞防御实战：API 参数加固
批量赋值漏洞防御教程：Spring Boot DTO 白名单、Node.js pick 与全局中间件、Laravel fillable 规范，敏感字段服务端强制赋值，网关层兜底拦截，附越权写回归验证命令。
「indexed-btree」周下载量近 200 万：运行时投毒绕过 npm v12 防护
Checkmarx 披露一起 npm 供应链投毒行动：恶意包 indexed-btree 冒充合法库 sorted-btree，峰值周下载量约 200 万次，载荷藏于运行时函数而非安装脚本，从而绕过 npm v12 的安装期加固，C2 指令则托管在以太坊测试网智能合约上。
16000+ Supabase 数据库配置错误，用户数据与令牌公开可读
UpGuard 披露超过 16000 个 Supabase 数据库因 RLS 缺失与公开密钥误用，导致数据表可被公开读取，泄露个人身份信息、明文密码与认证令牌。案例覆盖代客泊车、移民服务、创作者平台、短信验证码服务与领事机构。
MCP Python SDK 曝 OAuth 凭证窃取漏洞，恶意服务器可接管账户
官方 MCP Python SDK 存在 OAuth 凭证窃取缺陷，恶意服务器可将客户端引导至自有令牌端点，窃取客户端密钥、授权码与 PKCE 校验密钥。受影响版本 1.9.1 至 2.1.1，修复版本为 1.30.0 与 2.2.0，暂无 CVE 编号。
原型链污染防御实战：Node.js 配置与代码修复
原型链污染防御实战：从递归合并的触发原理出发，给出安全合并函数、–disable-proto 进程级防护、请求层键名拦截与 npm 依赖审计的完整配置与验收脚本。