近日，安全研究人员 Ian Carroll 披露，他借助 Anthropic 公司的 Claude AI（Opus 模型）成功发现并利用了 Front Gate Tickets（FGT）票务平台的一个严重未认证 SQL 注入漏洞。
FGT 作为 Live Nation/Ticketmaster 的子公司，负责美国多个大型音乐节和活动的票务系统，包括 EDC、Bonnaroo 和 Outside Lands 等。通过这一漏洞，攻击者仅凭一个未认证的 GET 请求即可获得平台完全管理员权限，理论上能够无限发放免费 “comp” 门票，并随意访问数百万客户与员工记录。
研究人员在对 fgtapi 进行模糊测试时，发现 “device” 相关端点的 deviceUID 参数存在明显 SQL 注入风险。由于 AWS Web 应用防火墙的阻挡，传统工具如 sqlmap 难以奏效。
他随后将问题交给 Claude，AI 迅速分析出可通过嵌套子查询绕过 WAF 检测，并利用 MySQL 字符串与数字相加自动转为 0 的特性，构建了高效的布尔盲 SQL 注入攻击。
通过逐步提取数据，研究人员访问了包含超过 500 张表的 fgs 数据库，获取了员工邮箱、密码、实时重置令牌和 API 令牌等敏感信息，最终读取活跃的 RESET_TOKEN 成功劫持管理员账户。
获得管理员权限后，攻击者不仅能随意发放免费门票、修改票价和库存，还能搜索客户订单数据库，甚至进一步劫持其他账户。Ian Carroll 在完成概念验证后选择负责任披露，未进行任何数据大规模窃取或恶意利用。Front Gate Tickets 收到报告后迅速修复了漏洞，并表示即将推出漏洞赏金计划。
via 匿名
FlClouds 是面向个人和小团队的 Telegram 转存与私有云存储系统。它提供 Web 文件管理、Telegram Bot 上传、yt-dlp 链接下载、频道/群组媒体转存、订阅同步、自动归档和多存储源接入。
https://github.com/hicocos/FlClouds
https://github.com/hicocos/FlClouds
GitHub
GitHub - hicocos/FlClouds
Contribute to hicocos/FlClouds development by creating an account on GitHub.
腾讯TenPayGo 开放公众注册使用
腾讯于6月21日上架了名为“TenPayGo”的独立支付应用。该应用是腾讯推出的面向海外旅客版本的“微信支付”，界面为全英文，类似于银联云闪付的“你好中国”。
但此前数日，如注册将会提示“内部测试中”。而目前，TenPayGo已开放公众通过邮箱注册。但目前注册仅支持 Gmail，不支持Outlook、iCloud等其他邮箱，使用这些邮箱仍会提示“内部测试中”。
该应用支持使用Apple Pay或绑定银行卡付款，支持的银行卡有：境外发行的VISA、万事达、美国运通、JCB、Discover、DinersClub卡。
同时，针对部分滥用的卡BIN号段（如部分U卡），此应用亦做出了与内地微信支付相同的风控措施：即不允许绑定（提示不支持绑定此银行），但若卡本身支持Apple Pay，通过Apple Pay渠道仍可正常付款。
目前，该应用仅支持向被扫模式下向个人收款码、经营收款码和第三方支付机构码牌，以及主扫模式下向部分个人收款码、经营收款码进行支付，尚不支持主扫模式下向部分个人收款码和第三方支付机构码牌支付，亦不支持从微信内或第三方应用跳转TenPayGo支付。
手续费方面，实测部分苹果端用户200元及以下免手续费，200元以上收取3%手续费；而部分苹果端用户与安卓端无论支付多少均收取3%手续费。目前尚不明确为何会出现此种差异。
限额方面，目前尚不明确单笔、单日、年限额等。
腾讯于6月21日上架了名为“TenPayGo”的独立支付应用。该应用是腾讯推出的面向海外旅客版本的“微信支付”，界面为全英文，类似于银联云闪付的“你好中国”。
但此前数日，如注册将会提示“内部测试中”。而目前，TenPayGo已开放公众通过邮箱注册。但目前注册仅支持 Gmail，不支持Outlook、iCloud等其他邮箱，使用这些邮箱仍会提示“内部测试中”。
该应用支持使用Apple Pay或绑定银行卡付款，支持的银行卡有：境外发行的VISA、万事达、美国运通、JCB、Discover、DinersClub卡。
同时，针对部分滥用的卡BIN号段（如部分U卡），此应用亦做出了与内地微信支付相同的风控措施：即不允许绑定（提示不支持绑定此银行），但若卡本身支持Apple Pay，通过Apple Pay渠道仍可正常付款。
目前，该应用仅支持向被扫模式下向个人收款码、经营收款码和第三方支付机构码牌，以及主扫模式下向部分个人收款码、经营收款码进行支付，尚不支持主扫模式下向部分个人收款码和第三方支付机构码牌支付，亦不支持从微信内或第三方应用跳转TenPayGo支付。
手续费方面，实测部分苹果端用户200元及以下免手续费，200元以上收取3%手续费；而部分苹果端用户与安卓端无论支付多少均收取3%手续费。目前尚不明确为何会出现此种差异。
限额方面，目前尚不明确单笔、单日、年限额等。
Showpaw
海外影视网盘资源聚合搜索，覆盖美剧、英剧、电影、动画、纪录片等类型，特点是可实时验证百度、夸克、阿里、115、迅雷、UC 等多家网盘的链接有效性，并自动过滤失效资源，且对于剧集类型资源，还支持按季筛选，体验特别不错，完全免费，无需注册。
频道 @WidgetChannel
https://github.com/wlzh/dji-4g-vohive-mac
GitHub
GitHub - wlzh/dji-4g-vohive-mac: 在 Mac（Apple Silicon / Intel）上用 UTM 跑 Linux 虚拟机，把大疆 4G 模块（EG25-G）伪装成移远 Quectel EC25 并部署 vohive…
在 Mac（Apple Silicon / Intel）上用 UTM 跑 Linux 虚拟机，把大疆 4G 模块（EG25-G）伪装成移远 Quectel EC25 并部署 vohive 平台的完整步骤 - wlzh/dji-4g-vohive-mac
https://github.com/wlzh/dji-4g-vohive-mac
GitHub
GitHub - wlzh/dji-4g-vohive-mac: 在 Mac（Apple Silicon / Intel）上用 UTM 跑 Linux 虚拟机，把大疆 4G 模块（EG25-G）伪装成移远 Quectel EC25 并部署 vohive…
在 Mac（Apple Silicon / Intel）上用 UTM 跑 Linux 虚拟机，把大疆 4G 模块（EG25-G）伪装成移远 Quectel EC25 并部署 vohive 平台的完整步骤 - wlzh/dji-4g-vohive-mac
