資安
6 篇文章
Cloudflare 的 KV cache 外洩：HTTP 200 驗不出請求隔離
拆解 Cloudflare 10 月 26 日披露的 GLM-5.3 跨請求資料曝露，說明 prefill/decode 分離後，容量檢查、拒絕傳遞與記憶體釋放如何共同構成租戶隔離。
登入後為什麼不用每次輸入密碼？Cookie、Session 與 Token 各做什麼
沿著文章收藏站的一次登入、後續請求與登出，分清 Cookie 的傳遞、Session 的伺服器紀錄與 JWT 的憑證格式，選出能撤銷、能驗證權限的最小登入方案。
訂單明細 API：如何限制顧客只能讀自己的訂單
登入成功後，訂單明細仍要檢查所有權。用可信的顧客身分限定 MySQL 查詢，對照集中 Policy 的取捨，再用跨帳號、快取與帳號切換案例驗收。
VeloCloud Orchestrator 漏洞已遭利用，唯讀帳號也在修補範圍
CVE-2026-114625 在 10 月 23 日新增 KEV 紀錄。核對 VCO 部署型態與分支修補版本，再把控制器更新、低權限帳號與入侵調查分開追蹤。
Siemens 實際利用警訊：簽章合法，旁邊的 DLL 卻是惡意的
Siemens Software Center 的 DLL 側載漏洞已遭利用，4.0.9.8 修復。從合法 EXE 搭配惡意 DLL 的散布方式，拆解版本更新、端點調查與 Windows 程式載入路徑的驗收。
備份商停用身分後，租戶調查還不能結案
ConnectWise Cloud Backup 事件把兩件事分開了：供應商切斷認證，與客戶確認自己的租戶還剩哪些存取途徑。本文整理如何界定證據、交接權限與管理備份空窗。