با وجود استفاده گسترده از React، حملات جدید XSS همچنان فعال هستند. مهاجمان با سوءاستفاده از زنجیره‌های عرضه، prototype pollution و تزریق هوشمندانه، توانسته‌اند از دفاع‌های قدیمی فریم‌ورک‌ها عبور کنند.

در سال ۲۰۲۵ مرورگرها به اصلی‌ترین هدف مهاجمان سایبری تبدیل شده‌اند. ترکیب افزونه‌های آلوده، بدافزارهای مبتنی بر وب و تکنیک‌های فریبکارانه اجتماعی، مرورگر را به نقطه ضعف اصلی زیرساخت دیجیتال بدل کرده است.

پس از جمع‌آوری زیرساخت BlackSuit توسط مراجع امنیتی، گروهی جدید به نام Chaos RaaS با الگوی باج‌افزار به‌عنوان سرویس (RaaS) فعالیت خود را آغاز کرده است. این گروه از روش‌های نوآورانه‌ای همچون مهندسی اجتماعی صوتی برای نفوذ به قربانیان استفاده می‌کند.

پلتفرم رسمی PyPI نسبت به کمپین فیشینگ فعالی هشدار داده که توسعه‌دهندگان را هدف قرار داده است. مهاجمان با ارسال ایمیل‌های جعلی حاوی لینک‌های مخرب، تلاش می‌کنند اعتبارنامه‌های PyPI را سرقت کنند.

تحقیقات Wiz نشان داد که دو endpoint مربوط به ثبت‌نام و تایید OTP در Base44 بدون کنترل app_id محافظت شده بودند. این باگ به مهاجم اجازه می‌داد بدون احراز هویت وارد اپ خصوصی کاربران دیگر شود.

هکرها بیش از ۳۵۰۰ وب‌سایت را هدف حمله قرار داده‌اند تا با استفاده از کدهای مخرب، رمزارز استخراج کنند. این عملیات بدون اطلاع کاربران و مدیران سایت‌ها انجام شده است.

گروه APT41 وابسته به چین با استفاده از سرورهای SharePoint داخلی به‌عنوان C2 حملات هدفمند علیه سازمان‌های دولتی و فناوری در آفریقا انجام داده‌اند. این کمپین با بدافزارهای اختصاصی، سرقت اعتبارسنجی و سایر ابزارهای نفوذ همراه بوده است.

محققان Lookout چند نمونه جدید از جاسوس‌افزار اندرویدی DCHSpy را شناسایی کرده‌اند که با قالب اپ‌های VPN و Starlink توزیع می‌شوند. این بدافزار اطلاعات واتس‌اپ، مخاطبین، پیامک‌ها، فایل‌ها و حتی میکروفون و دوربین را سرقت می‌کند.