Los más vistos
Los reportes con más visitas, de más a menos.
curl pierde el atributo Secure de una cookie si va precedido de un tabulador (CVE-2026-80255)
Desde curl 8.13.0, un Set-Cookie con tabulador antes de Secure hace que la cookie se guarde sin ese atributo, y curl la envía después en claro por HTTP al mismo host.
4 min
curl en macOS reutiliza conexiones TLS sin pasar por SecTrust al no comparar native_ca_store (CVE-2026-80231)
En macOS, curl podía reutilizar para una transferencia que esperaba verificación con SecTrust una conexión verificada solo con OpenSSL, porque el campo native_ca_store no se tenía en cuenta al decidir si dos conexiones son equivalentes.
3 min
curl con OpenSSL ignoraba --pinnedpubkey con --insecure si el servidor no enviaba certificado (CVE-2026-80230)
Con --insecure y un cifrado anónimo, curl compilado con OpenSSL se saltaba la comprobación del pin de clave pública y completaba la conexión, permitiendo un ataque MITM pese al pin.
3 min
CVE-2026-80229: uso tras liberación en libcurl con OpenSSL 3.x al reutilizar conexiones TLS con CURLOPT_SSLENGINE
libcurl liberaba el contexto de librería de OpenSSL al limpiar un handle, aunque una conexión TLS guardada en el pool seguía apuntando a él; reutilizarla desde otro handle provocaba un use-after-free.
3 min
curl 8.21.0 en Windows reutiliza conexiones Negotiate con la identidad equivocada (CVE-2026-19931)
En Windows con SSPI/Negotiate, libcurl 8.21.0 podía reutilizar una conexión autenticada con las credenciales del usuario de sesión para una petición que pedía otras credenciales, y el servidor la atendía con la identidad anterior.
2 min
Nextcloud Mail: el autocompletado de contactos se salta las restricciones de enumeración de usuarios
El autocompletado de contactos de Nextcloud Mail ignoraba la opción que limita la búsqueda de cuentas al propio grupo, y cualquier usuario autenticado podía listar ID, nombre y email de usuarios de otros grupos.
2 min
Robo del "cambio" en la firma en frío de Monero mediante un unsigned_txset falsificado
Un monedero caliente malicioso con la clave de vista podía reescribir la dirección de cambio de una transacción sin firmar en Monero, logrando que el firmante en frío firmara un output de cambio gastable por el atacante.
7 min
AWS Auto Scaling: seis endpoints dejaban en CloudTrail "AWS Internal" en lugar de la IP y el user-agent del que llama
Seis endpoints de la API de AWS Auto Scaling registraban en CloudTrail la IP de origen y el user-agent como "AWS Internal", lo que permitía a un atacante con credenciales actuar sin dejar esos datos en los logs.
3 min
IDOR en Revive Adserver: un manager podía borrar los banners de otros managers desde banner-delete.php
El endpoint banner-delete.php de Revive Adserver comprobaba el acceso al cliente y a la campaña, pero no que el banner perteneciera a esa campaña. Cualquier manager podía borrar banners de otras agencias cambiando el parámetro bannerid.
3 min
r2dbc-mariadb: un paquete inyectado desincroniza la conexión y entrega a cada usuario las filas del anterior
El driver r2dbc-mariadb aceptaba un paquete del servidor sin ninguna orden en curso y se lo pasaba a la siguiente consulta. Un solo paquete inyectado desfasaba la conexión para siempre: cada usuario recibía las filas del anterior.
9 min
Strands Agents Tools: el aviso de consentimiento interpretaba marcado y ocultaba una inyección de comandos en use_computer
El aviso de aprobación de strands-agents-tools se pintaba con prompt_toolkit.HTML() sin escapar. Un argumento manipulado podía esconder parte del texto al operador y, a través de app_name en use_computer, ejecutar comandos del sistema tras un "y" inocente.
7 min
Django: la caché de páginas confunde una cabecera ausente con una vacía y puede servir la respuesta equivocada con Vary
El middleware de caché de Django generaba la misma clave para una petición sin la cabecera indicada en Vary y para otra con esa cabecera vacía, de modo que una respuesta privada podía servirse a quien no debía.
3 min