数据泄露 - 卫方智能网络安全资讯平台

诺和诺德 1.3TB 数据泄露：前端 JS 硬编码 GitHub 令牌打通千个私有仓库

2026年9月12日作者卫方智能

勒索组织 FulcrumSec 披露，其通过诺和诺德两个公开网站前端 JavaScript 中硬编码的 Azure DevOps 与 GitHub 令牌进入内部系统，最终窃取约 1.3TB 数据。

2026年9月12日作者卫方智能

GitLab 修复仓库提交 API 路径遍历漏洞 CVE-2026-85706，CVSS 10.0，未认证攻击者可用单个 HTTP 请求读取服务器任意文件，已列入 CISA KEV。

2026年9月11日作者卫方智能

韩国平台 Weverse 披露 422,584 个账号关联的机密信息泄露，涉及购买类型、支付方式、金额与退款时间等交易字段，疑似支付信息处理 API 访问控制缺陷。公司已向 KISA 提交事件报告并加固接口。

2026年9月11日作者卫方智能

The Gentlemen 将加拿大航空列入暗网泄露站点，声称已获取 51,409 份关键文件并将攻击日期标注为 9 月 9 日。加航未公开回应，泄漏站点条目本身不构成入侵证据。该组织以 90% 分成快速扩张，攻击入口多为暴露的边缘设备。

2026年9月11日作者卫方智能

ShinyHunters 将佛罗里达州公路安全与机动车辆管理局列入暗网泄露站点，声称利用密码重置缺陷入侵执法人员专用数据库 DAVID，窃取超 20 万条驾照与车辆记录，并设 9 月 11 日谈判期限。官方尚未确认。

2026年9月9日作者卫方智能

德国安全公司Nebty发现迄今最大假电商网络DoppelCart：超11.9万个域名仿冒4.4万余个品牌，WebSocket实时外传持卡人数据并可中继银行OTP绕过3D Secure验证，10.5万假店仍在线。

2026年9月9日作者卫方智能

Check Point披露ChatGPT隐藏通道漏洞：植入对话的指令可让模型在正常回答的同时静默读取用户Gmail数据并传至另一账户。OpenAI已将涉事内部服务下线，用户无需更新客户端。

2026年9月8日作者卫方智能

Qilin 勒索组织在美国烟酒枪炮及爆裂物管理局（ATF）错过 72 小时赎金期限后，公开约 6.3GB 窃取数据，包含正在侦办案件的记录与手机提取数据。

2026年9月8日作者卫方智能

汤森路透法院案件管理平台 C-Track 遭未授权访问，影响美国 11 个州及加拿大安大略省法院，泄露数据可能包括社会安全号码、驾照号码与被封存的诉讼记录。

2026年9月7日作者卫方智能

JetBrains 8 月 23 日发现其 Cadence 云环境遭入侵，攻击者利用 CVSS 9.8 的 TeamCity 未认证 RCE 漏洞 CVE-2026-63077，窃取 AWS 凭据并触及含用户数据的 S3 存储与源代码。

2026年9月7日作者卫方智能

主机计费平台 WHMCS 9 月 3 日披露两个高危漏洞：CVE-2026-67399 未认证代码执行可致系统被完全接管，CVE-2026-67398 可泄露客户姓名与地址，涉及 9.x 与 8.x 多个版本。

2026年9月6日作者卫方智能

Gentlemen 勒索软件组织 9 月 5 日将美国医疗科技公司 Veradigm（原 Allscripts）列入泄露站点，宣称窃取 350 万余条患者记录，涉及姓名、社保号与联系方式；Veradigm 运营着覆盖 45 万余医疗机构、超 2 亿患者记录的 EHR 数据网络。