Todos los reportes
Inyección de HTML en el correo del formulario de contacto de Essity permitía phishing desde su propia infraestructura
El campo firstName del formulario de contacto se insertaba sin escapar en el correo de confirmación, así que cualquiera podía meter enlaces con estilo propio en un email auténtico de la marca y mandarlo a la dirección que quisiera.
4 min
Path traversal en ActiveStorage de Rails: una clave de blob manipulada permite escribir, leer y borrar ficheros
El DiskService de ActiveStorage construía rutas con la clave del blob sin validarla. Si una aplicación dejaba llegar datos del usuario al parámetro key: de attach(), se podía escribir, leer o borrar ficheros fuera del directorio de almacenamiento.
7 min
SSRF en la vista previa de enlaces de Rocket.Chat: un dominio que resuelve a una IP interna esquiva el filtro
La vista previa de enlaces de Rocket.Chat 7.11.0 solo bloqueaba IPs internas escritas tal cual en la URL; un dominio apuntando a una IP privada hacía que el servidor pidiera y mostrara contenido de la red interna.
2 min
Liberapay: un miembro del equipo enlazaba una cuenta de Twitter caducada que cualquiera podía registrar
El perfil de un miembro del equipo de Liberapay mostraba como "verificada" una cuenta de X/Twitter que ya no existía. Quien la registrase podía hacerse pasar por él ante los donantes.
2 min
CoinMate: el endpoint privado /api/bitcoinWithdrawalFees respondía sin autenticación
Un endpoint de la API de CoinMate documentado como operación de usuario devolvía las comisiones de retirada de bitcoin a cualquiera, sin comprobar la firma HMAC que exigen el resto de endpoints privados.
3 min
Mozilla Add-ons: un homoglifo Unicode permite usar "Mozilla" como nombre visible pese a estar prohibido
El filtro de nombres reservados de addons.allizom.org bloqueaba "Mozilla", pero aceptaba la misma palabra con la "M" sustituida por una letra cheroqui idéntica a la vista, lo que permitía hacerse pasar por la cuenta oficial.
2 min
Agotamiento de memoria en el WebSocket de curl por los PONG automáticos (CVE-2026-11586)
La cola interna de respuestas PONG automáticas de curl crecía sin límite efectivo. Un servidor WebSocket malicioso podía forzar el consumo de memoria del cliente hasta provocar su caída por falta de memoria.
3 min
DuckDuckGo: un workflow con pull_request_target permitía ejecutar código y envenenar los scripts de todos sus navegadores
Un workflow de GitHub Actions de content-scope-scripts ejecutaba código de PR ajenas con acceso a secretos. Cualquiera podía robar una clave de API y acabar colando una versión maliciosa en los navegadores de DuckDuckGo.
3 min
AWS Bedrock AgentCore: el CLI creaba roles IAM de Gateway sin protección contra el "confused deputy" entre cuentas
El comando `agentcore gateway create` generaba roles IAM con una política de confianza sin `aws:SourceArn` ni `aws:SourceAccount`, de modo que AgentCore desde otra cuenta podía asumirlos y leer secretos, S3 o invocar Lambdas ajenas.
3 min
Monero: las pruebas de gasto (SpendProofV1) no comprobaban que el daemon devolviera la transacción pedida
get_spend_proof y check_spend_proof en wallet2.cpp no comparaban el hash de la transacción recibida del daemon con el txid solicitado, así que un daemon malicioso podía hacer válida una prueba de gasto para un txid ajeno.
4 min
Khan Academy: la página de restablecer contraseña agotaba la memoria del navegador del usuario
En Khan Academy, abrir /pwreset?action=reset con la sesión iniciada hacía que la página generara sola miles de peticiones hasta agotar la memoria y bloquear el navegador de quien la visitaba.
1 min
SSRF ciego por POST en phpBB: el endpoint de notificaciones Web Push aceptaba cualquier URL
En phpBB 4.0.0-alpha1, cualquier usuario registrado podía registrar una URL arbitraria como destino de sus notificaciones Web Push y obligar al servidor a enviar peticiones POST a servicios internos o a metadatos de la nube.
4 min