Todos los reportes
Essity: 29 paquetes de plugins premium de WordPress descargables sin autenticación desde la biblioteca de medios
Una web de Essity guardaba en su biblioteca de medios de WordPress 29 ZIP de plugins de pago (RevSlider, ACF Pro, Wordfence Premium…), listados por la API REST y descargables por cualquiera sin iniciar sesión.
4 min
MariaDB: un recuento de campos desorbitado en HandlerSocket tumba el servidor
El plugin HandlerSocket de MariaDB reservaba memoria en la pila según el número de campos que indicaba el cliente antes de validarlo. Un valor enorme provocaba un SIGSEGV y dejaba la base de datos caída.
4 min
DoS en curl: datagramas QUIC de longitud cero dejan colgado al cliente HTTP/3 (CVE-2026-11352)
Un servidor HTTP/3 malicioso podía dejar colgado a curl enviándole datagramas UDP vacíos: el receptor QUIC los descartaba sin contarlos contra su presupuesto de paquetes, así que ni siquiera saltaba el --max-time.
5 min
DOM XSS en el nombre de fichero del importador de Fizzy (Basecamp) permite robar la cuenta con un solo clic
La vista previa del importador de cuentas de Fizzy pintaba el nombre del .zip con innerHTML. Un nombre de fichero preparado inyectaba un botón que, usando la sesión y el token CSRF de la víctima, cambiaba su email y permitía tomar la cuenta.
5 min
ssrf_filter reenviaba la cabecera Authorization al seguir redirecciones hacia otro host, filtrando credenciales
La gema Ruby ssrf_filter reconstruía cada petición redirigida con las opciones originales, incluida la cabecera Authorization, aunque la redirección llevase a otro host. Un servidor atacante podía quedarse con el token y reutilizarlo.
3 min
CoinMate: la firma HMAC de su API no incluía ni el endpoint ni el cuerpo de la petición
La API REST de CoinMate firmaba las peticiones solo con nonce, clientId y clave pública. Una firma válida no quedaba ligada a ninguna operación concreta y servía para otro endpoint con otros parámetros.
4 min
AWS Bedrock: sus API keys funcionaban en bedrock-mantle, fuera del Deny de IAM, de CloudTrail y de los logs
Las API keys de Bedrock también autenticaban en bedrock-mantle.{región}.api.aws, un segundo plano de inferencia que no cubrían el Deny de IAM, la detección en CloudTrail ni el registro de prompts que recomienda AWS.
7 min
Weblate: inyección de argumentos en ssh-keyscan desde /manage/ssh/ permitía leer ficheros del servidor
El campo host del formulario de claves SSH de Weblate se pasaba tal cual a ssh-keyscan. Con un valor como -f/etc/passwd, un administrador podía leer ficheros del servidor, incluidas claves privadas SSH y settings.py.
3 min
Burp Suite DAST: el login procesaba contraseñas de varios megas antes de validarlas
El endpoint /api-internal/login de una instancia de prueba de Burp Suite DAST cargaba y parseaba entera una contraseña de megas antes de rechazarla, gastando memoria y CPU con datos sin validar.
4 min
Monero: describe_transfer de wallet-rpc muestra un señuelo del anillo como entrada real antes de firmar en frío
El método describe_transfer de monero-wallet-rpc tomaba la entrada del anillo con el índice equivocado, así que la revisión previa a la firma en frío podía enseñar un señuelo en lugar de la salida que de verdad se gastaba.
7 min
Nextcloud Android: un enlace externo a FileDisplayActivity cierra la app por un usuario nulo
La actividad exportada FileDisplayActivity de la app Android de Nextcloud daba por hecho que había un usuario cargado. Un enlace o una app maliciosa podía abrirla y provocar un NullPointerException que cerraba la aplicación.
3 min
HackerOne: perfiles que seguían enlazando a ficheros .zip maliciosos tras corregir la validación de redes sociales
HackerOne corrigió la validación de los enlaces a redes sociales de los perfiles, pero no limpió los ya guardados: algunos perfiles seguían descargando ficheros .zip al pulsar el botón de GitHub.
2 min