安全研究员披露苹果iCloud+隐私中继存在安全缺陷，会泄露用户真实IP和DNS。该服务通过中继节点隐藏信息，但通行密钥的凭证服务会绕过保护，直接向网站发送请求。此外，WebKit内核的DNS预取和WebTransport功能也会泄露信息，影响第三方浏览器。苹果正调查，修复前建议使用全局VPN。

安全研究团队UNIT42披露谷歌浏览器密码管理器同步Passkey存在安全缺陷。攻击者需先在本地植入恶意软件，滥用设备信任机制绕过PIN、指纹或面容识别，劫持用户登录，无需管理员权限。通行密钥本身安全，但网站需严格检查UV标志，用户应保持系统更新。

压缩管理器Bandizip的签名工具存在安全缺陷，攻击者可利用该缺陷加载任意DLL文件，可能导致后门程序的触发。该工具未进行路径和签名校验，存在中等风险。建议班迪软件加强检测机制，企业用户应限制使用以防攻击。

纽约总检察长莱蒂蒂亚·詹姆斯起诉Zelle背后的银行，指控其支付平台导致超过10亿美元的诈骗损失。她指出Zelle在推出时存在严重安全缺陷，注册过程缺乏重要验证步骤，使诈骗者能够利用虚假信息注册。詹姆斯要求对受害者进行赔偿，并表示EWS未能及时处理客户的诈骗投诉。Zelle对此回应称，诉讼是政治噱头。

研究人员发现微软OneDrive的OAuth授权机制存在安全缺陷，允许第三方读取用户云盘中的所有文件。微软已承认该问题但尚未修复，用户在授权时未明确说明访问范围，可能导致数据泄露。

应用安全测试分为静态分析安全测试（SAST）和动态分析安全测试（DAST）。SAST在应用运行前分析源代码，发现安全缺陷；DAST在应用运行时识别漏洞。常用工具包括SonarQube（SAST）和OWASP ZAP（DAST）。

微软C盘的inetpub空文件夹存在安全缺陷，黑客可利用非管理员权限修改其权限，阻止Windows安装安全更新。修复方法不当可能导致安全漏洞，用户应避免删除或修改该文件夹的权限。

动态应用安全测试（DAST）是一种实时识别应用程序漏洞的方法，通过模拟真实攻击，专注于运行时的安全缺陷，能够有效发现认证错误和配置问题。结合其他测试方法（如SAST和IAST），DAST提供全面的安全覆盖，帮助开发团队及时修复漏洞。

Wiz研究团队最近揭示了SAP AI Core平台中的租户隔离漏洞，攻击者可以通过合法的AI训练过程执行任意代码，从而接管服务并获取客户的私人文件和云凭证。

Node.js项目将在11月第一周发布新版本，以修复OpenSSL的安全缺陷。OpenSSL 3.0.7将于11月1日发布，修复高严重性问题。Node.js v18.x和v19.x将更新，v17.x已于2022年6月停止支持。请关注nodejs-sec Google Group获取更新和安全政策信息。