#xss — OlimpoSec

risco altoOS-2026-085 · 2026-07-24

Agentes de pentest de IA da Aikido encontram oito falhas no fórum NodeBB em seis horas

A Aikido Security usou agentes de pentest baseados em IA para revisar o código-fonte do software de fóruns NodeBB e encontrou oito vulnerabilidades classificadas como de alta severidade, incluindo um caminho para obter acesso administrativo apenas alterando uma configuração de página inicial e uma falha que permitia ler mensagens privadas de qualquer usuário. Todas as versões anteriores à 4.14.0 são afetadas, e os administradores devem atualizar para 4.14.2.

#ai-pentest #vulnerability-disclosure #web-application-security #nodebb #xss #authorization-bypass

Fonte ↗

risco médioOS-2026-065 · 2026-07-22

RECEIPT resolve o 'reward hacking' em agentes de IA que caçam XSS e confirma 24 vulnerabilidades reais sem falsos positivos

Agentes de codificação baseados em LLM já conseguem combinar leitura de código-fonte com testes interativos para achar XSS, mas seus próprios relatos de sucesso não são confiáveis por si sós. O RECEIPT resolve isso isolando o ambiente, fixando restrições de prova de conceito, separando papéis de atacante e vítima e vinculando o veredito à execução real do payload em um navegador de verdade. Rodando com orçamento de US$ 20 por aplicação sobre 95 alvos de código aberto, o framework achou 24 XSS inéditas, 12 já reconhecidas pelos mantenedores, sem nenhum falso positivo.

#artigo-cientifico #xss #agentes-ia #llm-como-ferramenta-ofensiva #verificacao-de-exploit

Fonte ↗