OAuth y sesiones
Fallos en cómo una aplicación crea, guarda o delega sesiones: flujos OAuth con redirecciones mal validadas, tokens que no caducan, cookies sin las protecciones adecuadas o sesiones que sobreviven a un cambio de contraseña. El resultado habitual es el robo o la toma de cuentas.
Guía: OAuth y sesiones, qué es y cómo se busca →GitLab: aplicaciones OAuth de grupo marcadas como "de confianza" saltaban el consentimiento del usuario
Un dueño de grupo en GitLab podía manipular la edición de una aplicación OAuth para marcarla como "de confianza", un ajuste reservado a administradores, y obtener un token con alcance api de cualquier usuario que abriera un enlace.
3 min
Launchpad de 37signals enviaba tokens OAuth de la víctima a redirecciones sin verificar: acceso a la API de Basecamp
Cualquier cuenta de Basecamp podía registrar un cliente OAuth con un redirect_uri sin verificar. Launchpad enviaba allí el token de quien autorizaba, incluso sin client_secret, y con esos tokens se podían leer, cambiar y borrar proyectos.
6 min
Fuga de cookies de sesión en la app de LinkedIn por una cabecera estática en WebViewerFragment
Un campo estático de cabeceras en WebViewerFragment de la app Android de LinkedIn conservaba las cookies entre cargas, de modo que las cookies de sesión de linkedin.com acababan enviándose a una web controlada por el atacante.
4 min
curl aceptaba cookies para un sufijo público como co.uk. si el dominio terminaba en punto (CVE-2026-8924)
curl con soporte PSL rechazaba Domain=co.uk, pero aceptaba Domain=co.uk. cuando el host también acababa en punto. Así un servidor podía fijar una cookie que curl enviaba después a otros dominios bajo el mismo sufijo.
3 min
Khan Academy: una expresión regular con puntos sin escapar permitía robar el token de sesión y tomar cuentas con un clic
Un fallo en la regex que valida el parámetro continue dejaba redirigir a un dominio .app del atacante, que recibía el token de transferencia de sesión de la víctima y lo reutilizaba para entrar en su cuenta.
4 min
Taskcluster (Mozilla): los códigos de autorización OAuth2 se podían reutilizar y su caducidad no se comprobaba
El servidor web de Taskcluster no invalidaba los códigos de autorización OAuth2 tras canjearlos y miraba la columna de caducidad equivocada, así que un código filtrado servía para obtener credenciales del usuario una y otra vez.
4 min
curl pierde el atributo Secure de una cookie si va precedido de un tabulador (CVE-2026-80255)
Desde curl 8.13.0, un Set-Cookie con tabulador antes de Secure hace que la cookie se guarde sin ese atributo, y curl la envía después en claro por HTTP al mismo host.
4 min
curl con libpsl deja escapar cookies de un sufijo público a hosts hermanos (CVE-2026-82209)
Si un host que es sufijo público (como github.io) fija una cookie con Domain igual a sí mismo, curl la guarda con alcance de dominio y la envía a cualquier subdominio hermano, como attacker.github.io.
4 min