Los más vistos
Los reportes con más visitas, de más a menos.
Basecamp (Fizzy): los adjuntos privados de las tarjetas se podían abrir sin sesión con su URL de Active Storage
En app.fizzy.do, los ficheros subidos a una tarjeta y sus vistas previas se servían por URLs de Active Storage que cualquiera podía abrir, sin sesión y sin permisos sobre la tarjeta.
3 min
Lovable: invitar con rol de solo lectura sin plan Pro cambiando un parámetro de la petición
La API de Lovable no comprobaba el plan al crear enlaces de invitación: con una cuenta gratuita bastaba cambiar access_level de write a read para conceder "View access", una opción reservada al plan Pro.
3 min
Inyección de código local en el cliente de escritorio de Nextcloud para macOS vía secuestro de @rpath
Un usuario normal de macOS podía cargar una librería propia en el proceso de Nextcloud que gestiona el inicio de sesión web, gracias a una entitlement que desactiva la validación de firmas y a una ruta de compilación muerta en el binario.
6 min
curl reutilizaba entre orígenes distintos una conexión autenticada con Negotiate (CVE-2026-87861)
Un cambio en los comparadores de reutilización de conexiones de libcurl permitía que una petición para un host saliera por una conexión ya autenticada con Negotiate para otro host detrás del mismo proxy.
4 min
curl enviaba un ticket Kerberos nuevo (Authorization: Negotiate) al host de una redirección si la URL llevaba usuario
Con --negotiate y -L, bastaba con que el servidor redirigiera a una URL con usuario y contraseña inventados para que curl pidiera al KDC un ticket Kerberos para el host del atacante y se lo enviara, saltándose la protección entre hosts.
6 min
Use-after-free en subidas HTTP/2 de curl cuando el servidor corta el stream
Al subir un fichero por HTTP/2, curl 8.22.0 maneja mal un RST_STREAM del servidor y acaba reutilizando un objeto Curl_easy ya liberado. El resto del cuerpo pendiente se envía como si fuera una petición nueva y deja un puntero colgante.
5 min
curl ignoraba la verificación de clave de host SSH al seguir una redirección de HTTPS a SFTP o SCP
Si curl empezaba con una URL HTTPS y seguía una redirección a SFTP, no aplicaba --knownhosts ni --hostpubsha256: un servidor SSH suplantado podía recibir credenciales y servir contenido falso.
6 min
curl seguía firmando con AWS SigV4 después de desactivarlo con CURLOPT_AWS_SIGV4 a NULL
En libcurl, poner CURLOPT_AWS_SIGV4 a NULL vaciaba los parámetros pero no desactivaba la autenticación SigV4, así que un handle reutilizado seguía enviando cabeceras Authorization firmadas a la siguiente URL.
5 min
curl reutilizaba una conexión FTP autenticada con certificado de cliente en transferencias sin TLS ni certificado
Una regresión en la reutilización de conexiones FTP de libcurl permitía que una transferencia sin TLS ni certificado usase una conexión ya autenticada con el certificado de cliente privilegiado de otro handle.
5 min
Un max-age desmesurado en HSTS vacía la caché de curl y borra las políticas de todos los demás dominios
Un servidor HTTPS podía enviar un max-age que curl aceptaba pero no sabía guardar. Al fallar el guardado, el fichero de caché HSTS quedaba vacío y se perdían las políticas de todos los dominios, sin ningún error.
5 min
CVE-2026-86412: una cookie enviada por un servidor hace que curl vacíe el cookie jar y borre las de otros dominios
Un servidor HTTP podía fijar una cookie que curl guardaba en el cookie jar pero no sabía volver a leer. En la siguiente ejecución curl fallaba antes de conectar y, al cerrar, sobrescribía el jar vacío, borrando las cookies de todos los dominios.
7 min
CVE-2026-92386: una cookie enviada por un servidor deja inservible el cookie jar de curl para todas las transferencias
curl aceptaba y guardaba en su fichero de cookies una línea que luego no podía volver a leer. Un servidor cualquiera podía así bloquear todas las transferencias posteriores que usaran ese mismo cookie jar.
6 min