GitHub übergab ungebündelte OAuth-Token an die Browser-Instanz von VSCode, wodurch Angreifer über manipulierte Jupyter-Notebook-Erweiterungen auf alle privaten Repositories eines Entwicklers zugreifen konnten.
Eine aktive Debug-Flag in Microsoft 365 Android-Apps erlaubte beliebigen Apps auf dem Gerät, Authentifizierungs-Tokens zu stehlen und Nutzerkonten komplett zu übernehmen.
Eine One-Click-Attacke auf VS Code ermöglicht es Angreifern, vollständige GitHub OAuth-Token mit Schreib- und Lesezugriff auf private Repositories zu stehlen.
Angreifer haben ein populäres npm-Paket (codexui-android, ~27.000 Downloads wöchentlich) mit Malware infiziert, die langlebige OpenAI-Tokens stiehlt und dabei Code-Audits und Google-Play-Prüfungen erfolgreich umgeht.
