Últimos artículos
Blog de seguridad de aplicaciones
Explicaciones de CVE, patrones de revisión de código y orientación práctica para quienes desarrollan y gestionan software.
LMCache CVE-2026-105192: ejecución antes del rechazo
LMCache CVE-2026-105192 llega a pickle durante la decodificación de mensajes. Siga el parche, los llamadores del transporte y las evidencias necesarias para confiar en una prueba de regresión negativa.
Leer el artículoCVE-2026-104935: Ivanti confía en la cabecera, no en la URL
CVE-2026-104935 encadena una cabecera de enrutamiento y una carrera en la subida de archivos hasta lograr ejecución de código en Ivanti Connect Secure. El root completo necesita un tercer fallo, todavía sin parchear.
Leer el artículoConfusión de algoritmos en fast-jwt: corregida a la tercera
fast-jwt ha parcheado tres veces la confusión de algoritmos de RSA a HS256. CVE-2026-107722 muestra por qué las dos primeras correcciones cerraron una entrada y no la regla.
Leer el artículoCVE-2026-85097: Bricksforge confía en el nombre de archivo que le das
CVE-2026-85097 permite a un visitante sin autenticar colocar una shell PHP mediante un formulario de Bricksforge. Así funciona el fallo de confianza y así puedes revisar tus archivos subidos.
Leer el artículoCVE-2026-21589: la lectura de archivos de Atlassian que se esconde tras ::
CVE-2026-21589 es una lectura de archivos sin autenticación en ocho productos Data Center de Atlassian. Este es el error de orden que la provoca, y cómo comprobar su propio código.
Leer el artículoDespués de React2Shell: tres límites de seguridad que toda revisión de componentes de servidor necesita
Un método técnico de revisión para React2Shell y CVE-2026-23864: separe la decodificación segura, los controles de permisos y el trabajo acotado, y después verifique la compilación desplegada.
Leer el artículoCVE-2024-26855: cuando un atributo ausente se convierte en una desreferencia de NULL
Una corrección del controlador ice de Linux ilustra un error habitual en la revisión de código: tratar el resultado opcional de un analizador como un objeto garantizado.
Leer el artículoCVE-2025-37858: un destino de 64 bits no arregla un desplazamiento estrecho
Un cálculo de los grupos de asignación de JFS demuestra por qué la revisión de código debe examinar la anchura de una operación antes de que se asigne su resultado.
Leer el artículo
08Contacto
¿Va a lanzar algo que trata datos de usuarios?
Envíeme un breve resumen. Respondo en un plazo de tres días con preguntas o un esbozo de propuesta, y el precio se acuerda por escrito antes de empezar.