Los más vistos
Los reportes con más visitas, de más a menos.
Starknet Snap de MetaMask: cualquier web podía firmar mensajes sin confirmación del usuario con enableAuthorize=false
El Starknet Snap aceptaba de la propia web el parámetro enableAuthorize. Con el valor false se saltaba el diálogo de confirmación y la página obtenía firmas de mensajes o transacciones sin que el usuario las aprobara.
3 min
XSS almacenado en la vista previa de adjuntos de Roundcube, explotable con cookie tossing desde otro subdominio
La acción display-attachment de Roundcube servía en línea los adjuntos HTML subidos al redactar un correo, sin CSP. Combinado con cookie tossing desde un subdominio vulnerable, permitía tomar la cuenta de otro usuario.
4 min
Confusión de decodificador en Discourse: lectura de ficheros de /tmp al convertir HEIF
La conversión de imágenes HEIF/HEIC en Discourse invocaba a ImageMagick sin fijar el decodificador, de modo que un .heic con cabecera PostScript llegaba a Ghostscript y permitía leer ficheros temporales de otros usuarios.
5 min
Monero: un block_blob demasiado corto en la llamada RPC calc_pow tumba el nodo monerod
La llamada RPC calc_pow de monerod aceptaba un block_blob de menos de 43 bytes, llegaba al hash Cryptonight variante 1 y el proceso terminaba con _exit(1). Lo encontró el fuzzing de Ada Logics para MAGIC Grants.
3 min
pyOpenSSL acepta la conexión TLS aunque el callback de SNI lance una excepción (fallo abierto)
Si la función que el servidor registra con set_tlsext_servername_callback lanza una excepción, pyOpenSSL devuelve «OK» a OpenSSL y el handshake sigue adelante, con lo que se saltan los controles hechos en ese punto.
4 min
HackerOne: el formulario de canje de recompensas entregaba licencias de Burp Suite Pro sin comprobar la cuenta
El canje de la licencia de Burp Suite Pro del programa de puntos de HackerOne era un formulario de Google sin ligar a la cuenta: bastaba con cambiar de email para recibir licencias válidas una y otra vez.
3 min
Mozilla Pontoon: cualquier usuario podía fijar o desfijar comentarios ajenos en cualquier proyecto o idioma
Los endpoints /pin-comment/ y /unpin-comment/ de Pontoon solo exigían sesión iniciada: el botón se ocultaba en la interfaz, pero el servidor no comprobaba si el usuario era gestor del proyecto.
4 min
ReDoS en RubyGems.org: expresiones regulares del usuario en las políticas OIDC podían bloquear los workers de Puma
Las políticas de acceso OIDC de RubyGems.org ejecutaban expresiones regulares escritas por el usuario contra los claims del JWT sin límite de tiempo. Un patrón con backtracking catastrófico podía dejar ocupados los pocos workers del servidor.
3 min
CVE-2026-9546: fuga del Referer anterior en libcurl al reutilizar un easy handle
Poner CURLOPT_REFERER a NULL no limpiaba el estado interno del Referer en libcurl, así que la siguiente petición en el mismo easy handle podía reenviar el Referer anterior a otro servidor y provocar un use-after-free.
5 min
CVE-2026-94266: curl filtra la contraseña de .netrc en la URL efectiva tras una redirección relativa
Al seguir una redirección relativa en el mismo host, curl copiaba el usuario y la contraseña sacados de .netrc a la URL efectiva, visible en CURLINFO_EFFECTIVE_URL, %{url_effective} y la salida de -v.
4 min
Nextcloud Tables: un iconName inexistente rompe la interfaz de una aplicación y deja sus datos inaccesibles
La API de contextos de Nextcloud Tables aceptaba cualquier valor en iconName. Un icono inexistente hacía fallar el frontend al pintar la aplicación, que dejaba de mostrarse con todas sus tablas para todos los usuarios.
3 min
aws-encryption-provider: un Decrypt con ciphertext vacío tumba el plugin KMS v2 y deja a Kubernetes sin Secrets
El método Decrypt de la API KMS v2 de aws-encryption-provider leía el primer byte del ciphertext sin comprobar su longitud. Una sola llamada gRPC con un ciphertext vacío provocaba un panic que mataba todo el proceso.
4 min