ConnectWise 备份应用身份被劫持：173 个微软 365 租户被登入
微软威胁情报确认一起针对 ConnectWise Cloud Backup（原 SkyKick Backup）的在野供应链攻击：攻击者取得该应用的 OAuth 身份后，10 月 15 日从单一 IP 以应用身份登入 173 个 Microsoft 365 租户，并试图给同一服务主体追加长期凭据。
OAuth
OAuth 2.0 授权码加固：PKCE 配置实战
OAuth 2.0 授权码流程加固教程：PKCE 参数生成与 S256 校验、state 会话绑定、redirect_uri 精确匹配、授权码一次性消费与重放检测、刷新令牌轮换、Nginx 回调路径加固，附六项验证命令。
MCP Python SDK 曝 OAuth 凭证窃取漏洞，恶意服务器可接管账户
官方 MCP Python SDK 存在 OAuth 凭证窃取缺陷，恶意服务器可将客户端引导至自有令牌端点，窃取客户端密钥、授权码与 PKCE 校验密钥。受影响版本 1.9.1 至 2.1.1，修复版本为 1.30.0 与 2.2.0，暂无 CVE 编号。
3.1 万 Twitch 用户 OAuth 令牌泄露：JeetBot 浏览器扩展把会话凭证送进俄罗斯代理
安全厂商 Socket 披露扩展 Twitch Enhanced Viewer | JeetBot 把约 3.1 万用户的 Twitch OAuth 会话令牌以明文 URL 参数转发至运营方代理服务器，并硬编码放行 10 个俄语主播频道。该令牌为账户级凭证，无需密码与二次验证即可操作账号。