#Security

Producto

Ostorlab Threat Center incorpora ahora la inteligencia de la EUVD junto con los datos de la NVD, y ofrece a los equipos de seguridad una visibilidad más amplia de las vulnerabilidades mientras se preparan para el Reglamento de Ciberresiliencia de la UE.

Ingeniería

Descubra cómo funcionan las pruebas de seguridad del código fuente, por qué el SAST tradicional genera falsos positivos y cómo el análisis agéntico convierte las señales del escáner en hallazgos accionables.

Seguridad

Una evaluación técnica de la última versión de GoPhish que examina cómo gestiona la plataforma la confianza: identidad, contenido no confiable, propiedad de los objetos, ciclo de vida de las credenciales y solicitudes salientes. El análisis del código fuente con Ostorlab Agentic Deep Scan permitió establecer los ocho hallazgos del informe, las PoC y las prioridades de corrección.

Seguridad

Esta guía completa abarca la arquitectura, las metodologías de riesgo y los marcos de despliegue necesarios para diseñar una estrategia empresarial de evaluación de aplicaciones móviles que proteja los activos de datos corporativos sin generar fricción operativa.

Seguridad

Análisis técnico de CVE-2026-42208, una vulnerabilidad crítica de inyección SQL sin autenticación (CVSS 9.3) en la API del proxy de LiteLLM. Una parametrización incorrecta del token Bearer dentro de consultas SQL sin procesar, usadas para combinaciones complejas de varias tablas, permite ataques ciegos de temporización basados en condiciones booleanas, lo que posibilita que atacantes sin autenticación exfiltren datos sensibles de la base de datos, incluidas claves de API virtuales, información de usuarios y registros de gasto de LLM.

Seguridad

Análisis técnico de DirtyFrag, un par de vulnerabilidades de escalada de privilegios local en el kernel de Linux (CVE-2026-43284 y CVE-2026-43500, CVSS 7.8 ALTA) que permiten a cualquier usuario local sin privilegios obtener root en la mayoría de las distribuciones Linux principales. Al encadenar un fallo en la ruta de descifrado en el mismo lugar de xfrm-ESP y de RxRPC, ambos basados en la misma primitiva de escritura en la caché de páginas que Dirty Pipe y Copy Fail, el exploit sobrescribe páginas de caché de solo lectura sin condición de carrera, logrando una fiabilidad cercana al 100%.

Seguridad

Análisis técnico de CVE-2026-44109, una vulnerabilidad crítica con CVSS 9.2 de bypass de autenticación en OpenClaw (< 2026.4.15). Dos inversiones lógicas de tipo fail-open en el plugin de Feishu/Lark —una en el validador de firmas del webhook y otra en la protección contra reproducción de card-action— permiten a un atacante no autenticado inyectar eventos arbitrarios en el motor de despacho de comandos de OpenClaw. Cuando el bot tiene herramientas de ejecución habilitadas, esto se traduce directamente en ejecución remota de código no autenticada en la máquina host con los privilegios del proceso de OpenClaw.

Seguridad

Un análisis en profundidad de una vulnerabilidad crítica de Server-Side Request Forgery (SSRF) en el endpoint de carga de archivos de Chatwoot (≤ v4.12.1). El endpoint /api/v1/accounts/:id/upload acepta un parámetro external_url validado únicamente mediante una comprobación del esquema, lo que permite a cualquier agente autenticado forzar al servidor a solicitar URL internas arbitrarias. El cuerpo completo de la respuesta se devuelve en banda a través de blobs de ActiveStorage, convirtiendo el endpoint de carga en un proxy de lectura completa. La explotación en vivo en un droplet de DigitalOcean confirmó la exfiltración en banda de metadatos de la nube, incluidos el ID del droplet, el nombre de host, las claves públicas SSH y los paquetes completos de metadatos. Corregido en v4.13.0.

Seguridad

Una lista de verificación de cumplimiento de DORA ayuda a las organizaciones bancarias y fintech a evaluar su resiliencia operativa en áreas clave como el riesgo de las TIC, la respuesta a incidentes, las pruebas de resiliencia, la gobernanza de terceros y la supervisión, al tiempo que permite seguir el progreso de la implementación y respalda la preparación para auditorías.

Seguridad

Cómo realizar pruebas de seguridad en portales de pacientes, aplicaciones médicas, API y SaMD: riesgos de ePHI, obligaciones de HIPAA y GDPR, pruebas en el SDLC, monitorización continua y respuesta a incidentes.