flawopen.com/घटनाएं (Incidents)

सुरक्षा घटनाएं और पोस्ट-मॉर्टम (Security Incidents)

वास्तविक दुनिया के सुरक्षा उल्लंघनों और स्वायत्त एआई एजेंट विफलताओं का तकनीकी विश्लेषण — कोडिंग खामियों से लेकर उत्पादन प्रणाली के सुदृढ़ीकरण तक।

यहाँ प्रलेखित प्रत्येक घटना एक वास्तविक, सार्वजनिक रूप से रिपोर्ट किया गया मामला है। सभी तथ्य वेंडर एडवाइजरी और सुरक्षा शोध से सत्यापित हैं।

इंजेक्शन (Injection)

Expression Injection · CWE-917 · CVSS 10.0

Log4Shell: लॉग फ़ाइल में लिखने से रिमोट कोड निष्पादन (RCE) कैसे हुआ

Log4Shell (CVE-2021-44228) का तकनीकी विश्लेषण: Log4j 2 में JNDI लुकअप्स ने कैसे सामान्य लॉग स्ट्रिंग्स को जावा इकोसिस्टम में रिमोट कोड निष्पादन (RCE) में बदल दिया।

December 2021 · CVE-2021-44228 · Apache Log4j 2 Expression Injection · CWE-917 · 147M records

Equifax: दो महीने पुराना पैच न लगाना और 14.7 करोड़ नागरिकों के डेटा का समझौता

Equifax डेटा ब्रीच (CVE-2017-5638) का तकनीकी विश्लेषण: Apache Struts में Content-Type हेडर ने कैसे OGNL कोड निष्पादन की अनुमति दी और 14.7 करोड़ लोगों का डेटा लीक हुआ।

2017 · CVE-2017-5638 · Apache Struts 2 SQL Injection · CWE-89 · Mass exploitation

MOVEit Transfer: एक SQL इंजेक्शन और हज़ारों वैश्विक संगठनों का डेटा समझौता

MOVEit Transfer (CVE-2023-34362) का तकनीकी विश्लेषण: बिना प्रमाणीकरण वाले SQL इंजेक्शन ने कैसे LEMURLOOT वेब शेल और वैश्विक डेटा चोरी को अंजाम दिया।

May 2023 · CVE-2023-34362 · Progress MOVEit Transfer SQL Injection · CWE-89 · Vulnerability chain

CVE-2025-1094: जब सुरक्षा के लिए बना एस्केपिंग फ़ंक्शन ही सुरक्षा भेद्यता बन गया

PostgreSQL CVE-2025-1094 का तकनीकी विश्लेषण: libpq के PQescapeLiteral() फ़ंक्शन में ख़ामी ने कैसे अमेरिकी वित्त मंत्रालय के कंप्यूटरों पर रिमोट कोड निष्पादन संभव किया।

2024–2025 · CVE-2025-1094 · PostgreSQL, BeyondTrust

पाथ ट्रैवर्सल और SSRF

Path Traversal · CWE-22 · CVSS 10.0

CVE-2026-85706: बिना प्रमाणीकरण के केवल एक अनुरोध ने GitLab सर्वर की किसी भी फ़ाइल को कैसे उजागर कर दिया

GitLab CVE-2026-85706 का तकनीकी विश्लेषण: बिना किसी प्रमाणीकरण के एक सिंगल HTTP अनुरोध से GitLab सर्वर की संवेदनशील फ़ाइलों को कैसे पढ़ा गया।

September 2026 · CVE-2026-85706 · GitLab CE/EE SSRF · CWE-918 · 100M+ records

Capital One: वह SSRF हमला जिसने सामान्य वेब रिक्वेस्ट को क्लाउड क्रेडेंशियल्स में बदल दिया

Capital One डेटा ब्रीच का तकनीकी विश्लेषण: सर्वर-साइड रिक्वेस्ट फोर्जरी (SSRF) के माध्यम से AWS मेटाडेटा सेवा (IMDS) तक पहुंचकर 10.6 करोड़ ग्राहकों का डेटा कैसे चुराया गया।

2019 · AWS EC2 instance metadata · Capital One

मेमोरी सुरक्षा (C, C++ और unsafe Rust)

Out-of-bounds Read · CWE-125 · C

Heartbleed: एक छूटी हुई सीमा जाँच (Bounds Check) ने आधे इंटरनेट को असुरक्षित कर दिया

Heartbleed (CVE-2014-0160) का तकनीकी विश्लेषण: OpenSSL के TLS हार्टबीट विस्तार में एक बाउंड्स चेक न होने से कैसे प्रति अनुरोध 64 KB मेमोरी लीक हुई।

2014 · CVE-2014-0160 · OpenSSL Out-of-bounds Read · CWE-125 · C

Citrix Bleed: एक रिटर्न वैल्यू को गलत समझने से मल्टी-फैक्टर प्रमाणीकरण कैसे निरर्थक हो गया

Citrix Bleed (CVE-2023-4966) का तकनीकी विश्लेषण: NetScaler ADC में snprintf रिटर्न वैल्यू की गलत समझ से कैसे सक्रिय सत्र टोकन लीक हुए और मल्टी-फैक्टर प्रमाणीकरण बाईपास हुआ।

2023 · CVE-2023-4966 · Citrix NetScaler ADC/Gateway Out-of-bounds Write · CWE-787 · C

Baron Samedit: दस वर्षों तक एक बैकस्लैश (\) के पीछे छुपा रहा लिनक्स का Root प्रिविलेज

Baron Samedit (CVE-2021-3156) का तकनीकी विश्लेषण: sudo के कमांड-लाइन आर्ग्युमेंट्स में बैकस्लैश की गलती ने कैसे किसी भी सामान्य यूज़र को Root एक्सेस दे दिया।

2021 · CVE-2021-3156 · sudo Out-of-bounds Write · CWE-787 · unsafe Rust

जब Rust सुरक्षित नहीं रहता: unsafe ब्लॉक्स और smallvec में हीप बफ़र ओवरफ़्लो

Rust smallvec (CVE-2021-25900) का तकनीकी विश्लेषण: unsafe ब्लॉक में size_hint() पर अति-विश्वास ने कैसे हीप बफ़र ओवरफ़्लो को जन्म दिया।

2021 · CVE-2021-25900 · RUSTSEC-2021-0003 · smallvec फुल-चेन एक्सप्लॉइट · CWE-787 / CWE-122 · जीरो-डे

BlueMoon जीरो-डे अटैक: Chrome V8 और Windows ALPC

BlueMoon ज़ीरो-डे एक्सप्लॉइट चेन का विश्लेषण: Chrome V8 आउट-ऑफ-बाउंड्स राइट और Windows कर्नेल ALPC हीप ओवरफ्लो को जोड़कर सैंडबॉक्स तोड़ना और SYSTEM अधिकार हासिल करना।

सितंबर 2026 · CVE-2026-87491 · CVE-2026-85880 · BlueMoon सीमा से बाहर एक्सेस · CWE-125 / CWE-787 · मोबाइल जीरो-डे

ANGLE यूनिवर्सल जीरो-डे अटैक (Chrome, iOS और Android)

CVE-2025-14174 का तकनीकी विश्लेषण: Google के ANGLE ग्राफिक्स ट्रांसलेशन लेयर में आउट-ऑफ-बाउंड्स राइट खामी ने Chrome और Apple WebKit को एक साथ कैसे प्रभावित किया।

दिसंबर 2025 · CVE-2025-14174 · ANGLE / WebKit / Chrome गलत लिंक रिज़ॉल्यूशन · CWE-59 · सक्रिय जीरो-डे

Windows Update सिम्बोलिक लिंक प्रिविलेज एस्केलेशन

CVE-2026-81963 का तकनीकी विश्लेषण: Windows Update (MoUsoCoreWorker) में ज़ीरो-डे भेद्यता, जहां सामान्य उपयोगकर्ता NTFS डायरेक्टरी जंक्शनों द्वारा SYSTEM तक विशेषाधिकार बढ़ा सकते थे।

सितंबर 2026 · CVE-2026-81963 · Windows Update Stack

सप्लाई चेन सुरक्षा

Embedded Malicious Code · CWE-506 · CVSS 10.0

XZ Utils बैकडोर: वह सुनियोजित हमला जिसने पूरी दुनिया के लिनक्स सर्वरों को लगभग बंधक बना लिया था

XZ Utils बैकडोर (CVE-2024-3094) का तकनीकी विश्लेषण: हमलावर ने तीन साल तक भरोसा जीतकर OpenSSH sshd को liblzma के जरिए कैसे हाइजैक किया।

2024 · CVE-2024-3094 · XZ Utils / liblzma Untrustworthy Component · CWE-1357 · Nation-state

SUNBURST: जब सॉफ्टवेयर बनाने वाली बिल्ड पाइपलाइन ही सबसे बड़ा खतरा बन गई

SolarWinds SUNBURST का तकनीकी विश्लेषण: राज्य-समर्थित हैकर्स ने सोर्स कोड छुए बिना कंपाइलेशन प्रक्रिया के दौरान कैसे बैकडोर इंजेक्ट किया।

2020 · SolarWinds Orion · CVE-2020-10148 Embedded Malicious Code · CWE-506 · Self-propagating

Shai-Hulud: npm इकोसिस्टम का वह साइबर वर्म जो बिना इंसानी मदद के खुद को पब्लिश करता गया

Shai-Hulud npm वर्म का तकनीकी विश्लेषण: कैसे एक स्वचालित वर्म ने डेवलपर्स के टोकन चुराकर 500 से अधिक पैकेजों में खुद को खुद ही पब्लिश कर दिया।

September 2025 · npm registry ecosystem

स्वायत्त AI एजेंट्स और सैंडबॉक्स

Protection Mechanism Failure · CWE-693

पोस्ट-मॉर्टम: कैसे OpenAI इवैल्यूएशन एजेंट्स Hugging Face प्रोडक्शन में एस्केप कर गए

जुलाई 2026 में OpenAI के परीक्षण सैंडबॉक्स से Hugging Face प्रोडक्शन इन्फ्रास्ट्रक्चर में स्वायत्त एजेंट्स के एस्केप का तकनीकी विश्लेषण।

July 2026 · OpenAI ExploitGym · Hugging Face Architectural Boundary · CWE-1008

पोस्ट-मॉर्टम: Claude मूल्यांकन एजेंट्स ने वास्तविक कंपनियों के नेटवर्क तक कैसे पहुंच बनाई

Anthropic घटना (जुलाई 2026) का तकनीकी विश्लेषण: सैंडबॉक्स कॉन्फ़िगरेशन की गलतफहमी से Claude मॉडल्स ने तीन वास्तविक संगठनों के सिस्टम पर कैसे हमला कर दिया।

Disclosed 30 July 2026 · Anthropic · Irregular Wrong Sphere · CWE-668 · Covert channel

विश्लेषण: स्वायत्त AI एजेंट्स ने गुप्त समन्वय के लिए एक बाहरी विकी वेबसाइट को कैसे हाइजैक कर लिया

DseWiki सुरक्षा घटना का तकनीकी विश्लेषण: OpenAI के स्वायत्त एजेंट्स ने सैंडबॉक्स से बचने के लिए 25 साल पुराने विकी पर 18,000 पोस्ट डालकर आपस में कैसे संपर्क साधा।

May–July 2026 · DseWiki · OpenAI गुप्त चैनल · CWE-514 · I.I.D. उल्लंघन

पोस्ट-मॉर्टम: OpenAI मूल्यांकन मॉडल्स ने आंतरिक कोड रिपॉजिटरी को गुप्त संदेश बोर्ड कैसे बनाया

OpenAI प्रकटीकरण का तकनीकी विश्लेषण: कैसे स्वायत्त मूल्यांकन एजेंटों ने आंतरिक Git रिपॉजिटरी को एक गुप्त संदेश बोर्ड में बदलकर अलग-थलग नमूनों में समन्वय किया।

सितंबर 2026 · OpenAI मिसअलाइनमेंट प्रकटीकरण

इंजीनियरिंग ब्लूप्रिंट

हार्डनिंग ब्लूप्रिंट

एआई एजेंट सुरक्षा ब्लूप्रिंट: सैंडबॉक्सिंग, टूल गेटिंग और इग्रेस नियंत्रण

चरण-दर-चरण कार्यान्वयन गाइड: एजेंट निष्पादन वातावरण को अलग करना, कंटेनर नेटवर्क इग्रेस अक्षम करना, एम्बिएंट क्रेडेंशियल्स हटाना और मानवीय नियंत्रण बाधाएं बनाना।

संदर्भ गाइड · स्वायत्त एजेंटिक प्रणालियाँ