Resultados para “proxy”
59 resultado(s)
DoS en curl: datagramas QUIC de longitud cero dejan colgado al cliente HTTP/3 (CVE-2026-11352)
Un servidor HTTP/3 malicioso podía dejar colgado a curl enviándole datagramas UDP vacíos: el receptor QUIC los descartaba sin contarlos contra su presupuesto de paquetes, así que ni siquiera saltaba el --max-time.
5 min
ssrf_filter reenviaba la cabecera Authorization al seguir redirecciones hacia otro host, filtrando credenciales
La gema Ruby ssrf_filter reconstruía cada petición redirigida con las opciones originales, incluida la cabecera Authorization, aunque la redirección llevase a otro host. Un servidor atacante podía quedarse con el token y reutilizarlo.
3 min
Weblate: inyección de argumentos en ssh-keyscan desde /manage/ssh/ permitía leer ficheros del servidor
El campo host del formulario de claves SSH de Weblate se pasaba tal cual a ssh-keyscan. Con un valor como -f/etc/passwd, un administrador podía leer ficheros del servidor, incluidas claves privadas SSH y settings.py.
3 min
Burp Suite DAST: el login procesaba contraseñas de varios megas antes de validarlas
El endpoint /api-internal/login de una instancia de prueba de Burp Suite DAST cargaba y parseaba entera una contraseña de megas antes de rechazarla, gastando memoria y CPU con datos sin validar.
4 min
Inyección de HTML en el correo del formulario de contacto de Essity permitía phishing desde su propia infraestructura
El campo firstName del formulario de contacto se insertaba sin escapar en el correo de confirmación, así que cualquiera podía meter enlaces con estilo propio en un email auténtico de la marca y mandarlo a la dirección que quisiera.
4 min
Monero: las pruebas de gasto (SpendProofV1) no comprobaban que el daemon devolviera la transacción pedida
get_spend_proof y check_spend_proof en wallet2.cpp no comparaban el hash de la transacción recibida del daemon con el txid solicitado, así que un daemon malicioso podía hacer válida una prueba de gasto para un txid ajeno.
4 min
XSS de un clic en Fizzy (Basecamp): paginación de Turbo y blobs HTML sin adjuntar para robar un token de escritura
Un atacante con cuenta propia conseguía ejecutar JavaScript en el origen de Fizzy cuando una víctima de otra cuenta abría una URL de tablero público, y con ello crear y exfiltrar un token de escritura de la víctima.
8 min
Burp MCP Server: una coma en el nombre de host convierte un clic de aprobación en varias reglas automáticas
La extensión MCP de Burp Suite guardaba el host aprobado sin validarlo. Un host con comas, aprobado con un clic, se dividía en varias entradas de la lista blanca y permitía peticiones a localhost o redes internas sin volver a preguntar.
4 min
Inyección SQL sin autenticación en WordPress por confusión de rutas en el endpoint batch de la REST API
El endpoint batch de la REST API de WordPress (/wp-json/batch/v1) permitía una inyección SQL ciega sin autenticación encadenando una desincronización en el reparto de subpeticiones con la falta de validación de tipo en author__not_in.
4 min
AWS Bedrock AgentCore: el usuario del sandbox podía instalar una CA propia en el almacén de confianza del sistema vía sudo
Una regla sudo sin contraseña sobre deploy-certificates.sh, que leía certificados de un directorio escribible en /tmp, permitía al usuario del Code Interpreter de Bedrock AgentCore meter una CA propia en el almacén de confianza y falsificar certificados TLS.
4 min
Node.js (llhttp) aceptaba un CR suelto como fin de la línea de estado en respuestas HTTP, incluso en modo estricto
El parser de respuestas de llhttp, incluido en Node.js, daba por buena una línea de estado terminada en \r\r en lugar de \r\n. Las peticiones sí lo rechazaban, y esa asimetría abre la puerta a desincronizar conexiones detrás de un proxy.
7 min
Taskcluster (Mozilla): los códigos de autorización OAuth2 se podían reutilizar y su caducidad no se comprobaba
El servidor web de Taskcluster no invalidaba los códigos de autorización OAuth2 tras canjearlos y miraba la columna de caducidad equivocada, así que un código filtrado servía para obtener credenciales del usuario una y otra vez.
4 min