Los más vistos
Los reportes con más visitas, de más a menos.
GitLab: aplicaciones OAuth de grupo marcadas como "de confianza" saltaban el consentimiento del usuario
Un dueño de grupo en GitLab podía manipular la edición de una aplicación OAuth para marcarla como "de confianza", un ajuste reservado a administradores, y obtener un token con alcance api de cualquier usuario que abriera un enlace.
3 min
Cosmos SDK: robar fondos desbloqueados de cuentas lockup ajenas falsificando el remitente del mensaje
Las cuentas de bloqueo (lockup) de x/accounts en Cosmos SDK comprobaban el propietario con el campo Sender del propio mensaje, que nadie validaba. Cualquiera podía mover los fondos ya desbloqueados de una cuenta ajena.
3 min
Un proxy expuesto a Internet en Reddit daba acceso a dominios internos con solo cambiar la cabecera Host
Un proxy de Reddit accesible desde Internet en una IP y puerto sueltos atendía peticiones dirigidas, mediante la cabecera Host, a dominios internos pensados solo para empleados.
2 min
Un token de Netlify de Mozilla quedó a la vista en los logs públicos de su CI
Un log público de una tarea de Firefox CI mostraba en claro un token de la API de Netlify con acceso a la cuenta "Mozilla IT Web SRE", de la que dependía crash-pings.mozilla.org.
4 min
Insightly: saltarse la verificación de email en el alta y crear cuentas con correos ajenos, incluso ya registrados
El alta de Insightly confiaba en el parámetro EmailAddress de la petición a /signup/provisionuser. Cambiándolo se creaba una cuenta con un correo ajeno sin verificarlo, incluso uno ya registrado, con riesgo de toma de cuenta.
3 min
CVE-2022-40604: format string en Apache Airflow permite leer secret_key y la conexión a la base de datos vía run_id
Airflow 2.3.0-2.3.4 pasaba por str.format() una URL de logs que incluía el run_id del usuario. Un run_id manipulado permitía recorrer objetos de Python y sacar la configuración, incluida la secret_key.
3 min
Gutenberg (WordPress): el bloque experimental de formulario permitía enviar correos a cualquier destinatario sin autenticación
El bloque Form experimental de Gutenberg 22.2.0 aceptaba envíos anónimos por admin-ajax.php y mandaba el correo a la dirección que el cliente pusiera en formAction, convirtiendo la web en un relay para spam y phishing.
5 min
CVE-2026-8925: doble liberación de memoria en curl al fallar la negociación SASL con GSASL
Si la prueba de un mecanismo SCRAM fallaba, curl liberaba el contexto de libgsasl sin anular el puntero y lo volvía a liberar al cerrar la conexión. Un servidor IMAP o SMTP podía provocarlo solo con anunciar SCRAM.
6 min
Bomba XML "billion laughs" en translation-finder de Weblate: ficheros Qt .ts que agotan la CPU
La función que lee la versión de los ficheros Qt .ts en translation-finder expandía entidades XML sin control. Un .ts de menos de 1 MiB forzaba decenas de MB de expansión, y cada fichero extra multiplicaba el coste de la detección.
8 min
MariaDB Connector/C: un fallo de hostname en TLS permite forzar el envío de la contraseña en claro en el auth-switch
Connector/C solo bloqueaba plugins de autenticación sin hash si fallaba la cadena de confianza del certificado, no si fallaba el hostname. Un atacante en medio podía pedir mysql_clear_password y llevarse la contraseña.
5 min
CVE-2026-111480: use-after-free y doble free en libcurl al reanudar una transferencia desde un callback
Llamar a curl_easy_pause() desde un callback mientras libcurl reenvía datos en búfer libera memoria que el bucle exterior sigue usando. La aplicación se cae, pero un servidor remoto no puede provocarlo por sí solo.
5 min
CVE-2026-111481: una cookie del servidor aún rompe el cookie jar de curl pese al parche de CVE-2026-92386
El parche de CVE-2026-92386 no bastó: un servidor puede hacer que curl guarde una línea de cookie demasiado larga, de modo que las siguientes ejecuciones fallan con el código 100 y, con -b y -c sobre el mismo fichero, el jar se queda sin cookies.
4 min