प्रमुख SaaS प्लेटफ़ॉर्म में महत्वपूर्ण API कमजोरियां लाखों उपयोगकर्ता रिकॉर्ड को उजागर करती हैं। GraphQL इंट्रोस्पेक्शन हमलों में वृद्धि हो रही है क्योंकि उद्यम API-फर्स्ट आर्किटेक्चर अपना रहे हैं। OAuth 2.0 कार्यान्वयन में एक नई BOLA कमजोरी श्रेणी 40+ पहचान प्रदाताओं को प्रभावित करती है।
⚡ निचला रेखा: आपके API संभवतः आपकी सोच से अधिक उजागर हैं। व्यापक API सुरक्षा ऑडिट का समय आ गया है।
☁️
गंभीर
CVE-2026-25001 — Salesforce API बड़े पैमाने पर डेटा एक्सपोज़र
यह क्यों महत्वपूर्ण है
Salesforce REST API में ब्रोकन ऑब्जेक्ट लेवल ऑथराइजेशन (BOLA) कमजोरी प्रमाणित उपयोगकर्ताओं को ऑब्जेक्ट ID में हेरफेर करके किसी भी रिकॉर्ड तक पहुंचने की अनुमति देती है। शोधकर्ताओं का अनुमान है कि 15,000+ Salesforce संगठन गलत कॉन्फ़िगर की गई API अनुमतियों के माध्यम से ग्राहक डेटा को उजागर कर सकते हैं।
प्रभाव
विवरण
डेटा उल्लंघन
संगठनों में सभी ग्राहक रिकॉर्ड तक पहुंच
PII एक्सपोज़र
नाम, ईमेल, फोन नंबर, खरीद इतिहास
अनुपालन
GDPR, CCPA, HIPAA उल्लंघन
प्रतिष्ठा
ग्राहक विश्वास और ब्रांड क्षति
कार्रवाई आइटम
तुरंत Salesforce API अनुमति सेट की समीक्षा करें
Salesforce Shield इवेंट मॉनिटरिंग सक्षम करें
साझाकरण नियमों और रिकॉर्ड-स्तर सुरक्षा का ऑडिट करें
संवेदनशील डेटा के लिए फ़ील्ड-स्तर सुरक्षा लागू करें
Salesforce सुरक्षा स्वास्थ्य जांच उपकरण का उपयोग करें
🔐
गंभीर
CVE-2026-25112 — OAuth 2.0 टोकन इंजेक्शन कमजोरी
यह क्यों महत्वपूर्ण है
OAuth 2.0 प्राधिकरण कोड प्रवाह में एक कमजोरी Okta, Auth0 और कस्टम कार्यान्वयन सहित 40+ पहचान प्रदाताओं को प्रभावित करती है। हमलावर जुड़े अनुप्रयोगों में उपयोगकर्ता सत्रों को अपहरण करने के लिए दुर्भावनापूर्ण टोकन इंजेक्ट कर सकते हैं।
👤
खाता अधिग्रहण
सभी OAuth-कनेक्टेड अनुप्रयोगों में
🔓
सत्र अपहरण
क्रेडेंशियल चोरी के बिना
🛡️
MFA बाईपास
डाउनस्ट्रीम अनुप्रयोगों में
🔄
स्थायी पहुंच
रिफ्रेश टोकन चोरी के माध्यम से
कार्रवाई आइटम
OAuth लाइब्रेरी को पैच किए गए संस्करणों में अपडेट करें
सभी प्राधिकरण कोड प्रवाहों के लिए PKCE लागू करें
समर्थित जगहों पर टोकन बाइंडिंग सक्षम करें
सर्वर साइड पर redirect_uri को सख्ती से मान्य करें
प्रभावित अनुप्रयोगों के लिए क्लाइंट सीक्रेट रोटेट करें
📊
वृद्धि
GraphQL API इंट्रोस्पेक्शन हमले
यह क्यों महत्वपूर्ण है
हमलावर API स्कीमा मैप करने और संवेदनशील एंडपॉइंट खोजने के लिए GraphQL इंट्रोस्पेक्शन क्वेरी का शोषण कर रहे हैं। उत्पादन में 67% GraphQL API में इंट्रोस्पेक्शन सक्षम है, जो आंतरिक डेटा संरचनाओं और संभावित कमजोरियों को उजागर करता है।
कार्रवाई आइटम
उत्पादन वातावरण में इंट्रोस्पेक्शन अक्षम करें
क्वेरी गहराई सीमा लागू करें
प्रति-उपयोगकर्ता और प्रति-क्वेरी दर सीमा सक्षम करें
संचालन को प्रतिबंधित करने के लिए स्थायी क्वेरी का उपयोग करें
GraphQL-जागरूक WAF नियम तैनात करें
💳
एक्सपोज़र
क्लाइंट-साइड कोड के माध्यम से Stripe API कुंजी एक्सपोज़र
यह क्यों महत्वपूर्ण है
सुरक्षा शोधकर्ताओं ने 12,000+ वेबसाइटों को गलती से क्लाइंट-साइड JavaScript में Stripe गुप्त API कुंजी को उजागर करते हुए पाया। हमलावर इन कुंजियों का उपयोग रिफंड धोखाधड़ी, ग्राहक डेटा चोरी और धोखाधड़ी लेनदेन के लिए कर सकते हैं।
महत्वपूर्ण: यदि आप Stripe का उपयोग करते हैं, तो तुरंत अपने फ्रंटएंड कोड को स्कैन करें। उजागर गुप्त कुंजियां आपके व्यापारी खाते को खाली कर सकती हैं।
कार्रवाई आइटम
उजागर API कुंजियों के लिए फ्रंटएंड कोड स्कैन करें
न्यूनतम अनुमतियों के साथ Stripe प्रतिबंधित कुंजियों का उपयोग करें
धोखाधड़ी का पता लगाने के लिए Stripe Radar सक्षम करें
केवल सर्वर-साइड Stripe एकीकरण लागू करें
CI/CD पाइपलाइन में गुप्त स्कैनिंग का उपयोग करें
🚦
शोध
REST API रेट लिमिटिंग बाईपास तकनीक
यह क्यों महत्वपूर्ण है
नया शोध HTTP/2 मल्टीप्लेक्सिंग, हेडर हेरफेर और वितरित हमलों का उपयोग करके सामान्य API रेट लिमिटिंग कार्यान्वयन को बाईपास करने की तकनीकों को प्रदर्शित करता है। कई API ऑपरेटरों की धारणा से अधिक दुरुपयोग के प्रति संवेदनशील हैं।
कार्रवाई आइटम
बहु-कारक रेट लिमिटिंग लागू करें (IP + उपयोगकर्ता + एंडपॉइंट)
उन्नत रेट लिमिटिंग के साथ API गेटवे का उपयोग करें
API ट्रैफ़िक के लिए विसंगति का पता लगाना सक्षम करें
आधुनिक बाईपास तकनीकों के साथ रेट लिमिटिंग का परीक्षण करें
API कोटा और बिलिंग लागू करने पर विचार करें
🎟️
चल रहा
JWT एल्गोरिथम भ्रम हमले
यह क्यों महत्वपूर्ण है
हमलावर एल्गोरिथम भ्रम (alg:none, RS256→HS256) के प्रति संवेदनशील JWT कार्यान्वयन का शोषण करना जारी रखते हैं। कई कस्टम JWT लाइब्रेरी और पुराने फ्रेमवर्क संवेदनशील बने हुए हैं।
कार्रवाई आइटम
केवल अच्छी तरह से बनाए रखी गई JWT लाइब्रेरी का उपयोग करें
सर्वर-साइड पर अपेक्षित एल्गोरिथम को स्पष्ट रूप से मान्य करें
उत्पादन में कभी भी "none" एल्गोरिथम स्वीकार न करें
सार्वजनिक API के लिए असममित एल्गोरिथम (RS256/ES256) का उपयोग करें
JWT टोकन निरस्तीकरण तंत्र लागू करें
API सुरक्षा ऑडिट चेकलिस्ट
महत्वपूर्ण — अभी ऑडिट करें
महत्वपूर्ण: Salesforce API अनुमतियों की समीक्षा करें
महत्वपूर्ण: OAuth लाइब्रेरी संस्करण अपडेट करें
उत्पादन में GraphQL इंट्रोस्पेक्शन अक्षम करें
उजागर API कुंजियों के लिए कोड रिपॉजिटरी स्कैन करें
JWT कार्यान्वयन और एल्गोरिथम सत्यापन की समीक्षा करें
चल रहे सुधार
WAF क्षमताओं के साथ API गेटवे लागू करें
API लॉगिंग और मॉनिटरिंग सक्षम करें
सभी API में रेट लिमिटिंग तैनात करें
API सुरक्षा मूल्यांकन करें
API सुरक्षा मानकों का दस्तावेज़ीकरण करें
OWASP API Top 10 पर डेवलपर्स को प्रशिक्षित करें
BOLA, टूटे प्रमाणीकरण और उजागर गुप्त के लिए अपने API को स्कैन करें