D’après Protos, des développeurs de Bitcoin Core ont récemment divulgué une vulnérabilité critique (CVE-2024-52911) qui affecte les versions 0,14,1 à 28,4, permettant aux mineurs de faire crasher à distance des nœuds et d’exécuter du code arbitraire en minant des blocs spécialement conçus. Découverte en novembre 2024 par le développeur Cory

Message de Gate News, 29 avril — La plateforme décentralisée de marché de prédiction Polymarket semble avoir subi une violation de données, l’acteur de menace xorcat publiant plus de 300 000 enregistrements de données et des outils d’exploitation associés sur un forum de cybercriminels connu. Selon des informations, les attaquants ont exploité des points de terminaison API non divulgués, des contournements de pagination et des erreurs de configuration CORS dans les API Gamma et CLOB de Polymarket pour extraire les données. Selon des informations, les attaquants ont exploité des points de terminaison API non divulgués, des contournements de pagination et des erreurs de configuration CORS dans les API Gamma et CLOB de Polymarket pour extraire les données.
Les données divulguées incluent des informations personnelles complètes pour 10 000 utilisateurs noms, des wallets proxy et des adresses de base, 4 111 commentaires, 1 000 enregistrements de signalement contenant 58 adresses ETH et des identifiants d’authentification administrateur, 48 536 entrées de métadonnées de marché Gamma, plus de 250 000 adresses d’AMM (automated market maker) actives sur le marché CLOB, et 9 000 points de données du graphe social des abonnés.
La boîte à outils d’exploitation contient du code de preuve de concept pour plusieurs vulnérabilités : CVE-2025-62718 contournement Axios NO_PROXY, CVSS 9.9, permettant une falsification de requêtes côté serveur, CVE-2024-51479 contournement d’authentification du middleware Next.js, CVSS 7.5, et des erreurs de configuration CORS. Le package inclut également des scripts automatisés d’extraction de données et un rapport d’évaluation complet de l’équipe Red Team.

La chercheuse en sécurité Doyeon Park a révélé une faille zero-day CVSS 7.1 dans CometBFT de Cosmos, pouvant entraîner des gels potentiels des nœuds pendant la synchronisation ; la résistance du fournisseur, les rétrogradations et la divulgation ont conduit à une révélation le 21 avril ; les validateurs doivent éviter les redémarrages avant le correctif.
Résumé : La chercheuse en sécurité Doyeon Park a révélé une vulnérabilité critique zero-day CVSS 7.1 dans la couche de consensus CometBFT de Cosmos, susceptible de provoquer le gel des nœuds pendant la synchronisation des blocs, ce qui pourrait affecter des réseaux qui sécurisent plus de $8 milliard de dollars d’actifs. La vulnérabilité ne peut pas voler directement des fonds. Park a entamé une divulgation coordonnée à partir du 22 février, mais s’est heurtée à la résistance du fournisseur à la divulgation publique et à des problèmes avec HackerOne. Le fournisseur a rétrogradé une vulnérabilité liée (CVE-2025-24371) du statut critique à celui d’information le 6 mars, poussant Park à publier une preuve de concept au niveau réseau avant la divulgation publique du défaut le 21 avril. L’avis recommande aux validateurs Cosmos d’éviter de redémarrer les nœuds jusqu’à la publication des correctifs ; les nœuds déjà en consensus peuvent continuer, mais un redémarrage et une resynchronisation pourraient les exposer à des attaques menées par des pairs malveillants, avec un risque d’interblocage.

Les chercheurs de l'équipe Manmou ont découvert une vulnérabilité d'élévation de privilèges et d'exécution de commandes dans Claude Code d'Anthropic, CVE-2025-64755. Les attaquants peuvent exécuter des commandes sans autorisation. Le PoC associé a été publié, et des hackers ont déjà exploité cette vulnérabilité pour attaquer des utilisateurs cryptographiques.