16 岁研究员发现微软 Titan 未校验 JWT，可管理约 17.3 万亿行数据环境
The Register 报道：少年研究员 Faav 发现微软内部分析服务 Titan 接受无签名 JWT，可将 upn 设为 admin 执行 SQL；微软已锁定接口并支付 5000 美元赏金。
据 The Register 等报道，16 岁安全研究员 Faav 发现微软内部分析平台 Titan 的 /v2/Query 接口未验证 JWT 签名。构造 alg=none 的令牌并将 upn 设为「admin」即可获得管理员级 SQL 能力。元数据显示环境约含 17 个分析库、估约 17.3 万亿存储行，以及约 2.5 万应用账户记录；研究员仅做元数据与有限抽样，未导出客户隐私数据。
漏洞于 9 月 5 日报告 MSRC，9 月 9 日接口被锁定，赏金 5000 美元。微软感谢协调披露。启示是：认证必须先验证签名，否则后续声明校验形同虚设。