Todos los reportes
CVE-2026-111480: use-after-free y doble free en libcurl al reanudar una transferencia desde un callback
Llamar a curl_easy_pause() desde un callback mientras libcurl reenvía datos en búfer libera memoria que el bucle exterior sigue usando. La aplicación se cae, pero un servidor remoto no puede provocarlo por sí solo.
5 min
CVE-2026-111481: una cookie del servidor aún rompe el cookie jar de curl pese al parche de CVE-2026-92386
El parche de CVE-2026-92386 no bastó: un servidor puede hacer que curl guarde una línea de cookie demasiado larga, de modo que las siguientes ejecuciones fallan con el código 100 y, con -b y -c sobre el mismo fichero, el jar se queda sin cookies.
4 min
curl con OpenSSL y Apple SecTrust acepta grapas OCSP falsificadas, caducadas o "unknown" pese a --cert-status
Cuando Apple SecTrust valida la cadena, curl deja de comprobar la grapa OCSP por su cuenta y SecTrust la evalúa en modo tolerante: una respuesta falsificada, caducada o "unknown" pasa --cert-status sin error.
5 min
curl reutiliza en HTTPS sesiones TLS creadas para FTPS, lo que permite sustituir una respuesta verificada
La caché de sesiones TLS de curl 8.12.0 a 8.23.0 no distingue el esquema de la URL. Un atacante en la red, con varias condiciones a favor, puede hacer pasar un fichero FTPS por una respuesta HTTPS válida sin romper la verificación del certificado.
7 min
Inyección CSS en Roundcube: un escape de carácter burla el filtro de estilos y revela la IP de quien lee el correo
El filtro de estilos de Roundcube Webmail se podía saltar con escapes de carácter CSS. Un correo HTML colaba `url()` en un atributo style y obtenía la IP y el agente de usuario de quien lo abría.
2 min
Open redirect en lovable.dev: una barra invertida en el parámetro redirect lleva a cualquier dominio externo
El parámetro redirect de lovable.dev esperaba una ruta relativa, pero un valor como /\google.com sacaba al usuario a un dominio externo. Con enlaces del dominio legítimo, esto servía para campañas de phishing.
2 min
curl con GnuTLS y Apple SecTrust acepta respuestas OCSP revocadas, falsificadas o caducadas con --cert-status
En compilaciones de curl con GnuTLS y Apple SecTrust, si GnuTLS rechaza una respuesta OCSP grapada, SecTrust acepta la cadena sin mirarla y --cert-status deja pasar una respuesta revocada, falsificada o caducada.
7 min
Basecamp: secuestro de webhooks de otras cuentas con PUT y DELETE en proyectos All-access
La API de Basecamp comprobaba la visibilidad del proyecto y no la pertenencia a la cuenta: cualquier usuario podía redirigir o borrar webhooks de proyectos All-access ajenos y recibir en su servidor lo que se publicaba en ellos.
5 min
Una URL de CDN del Departamento de Defensa de EE. UU. publicaba el listado XML de sus objetos, con ETag incluido
Una URL de CDN del programa del Departamento de Defensa devolvía en XML el listado de objetos almacenados. Los ficheros seguían protegidos, pero nombres, fechas, tamaños y ETag quedaban a la vista de cualquiera.
3 min
Nextcloud: la app de Android permitía guardar archivos compartidos con la descarga desactivada
En Nextcloud, desmarcar "Allow download" al compartir no bastaba: desde el visor de la app de Android, el destinatario podía guardar PDF, documentos y presentaciones, y reutilizar imágenes.
3 min
Weblate: un nombre de fichero manipulado tumba el descubrimiento de traducciones de translation-finder
translation-finder metía parte del nombre de cada fichero en la cadena de reemplazo de re.sub. Un nombre como x\g<99>-en.po lanzaba una excepción sin capturar y detenía el descubrimiento de todo el repositorio.
4 min
Django delataba qué usuarios existen: ataque de tiempos en la autenticación de Apache con mod_wsgi
check_password en el manejador mod_wsgi de Django contestaba al instante si el usuario no existía y tardaba cientos de milisegundos si existía. Midiendo esa diferencia, un atacante podía descubrir cuentas válidas.
4 min