Güvenlik
6 artículos
- czCZAY.DEVES4 MINGÜVENLIK#GüvenlikVOL. 2026 // #2AD7
Dentro de PHP CVE-2026-115560: el desajuste entre Session Upload Progress y el serialize handler
Más allá del clickbait sobre el aviso CVE-2026-115560 de PHP (CVSS 6.4): cómo los cambios en tiempo de ejecución de session.serialize_handler chocan con session.upload_progress y provocan PHP Object Injection, y la mitigación de una línea en php.ini.
24 de octubre de 2026 · 4 min de lecturaLeer - czCZAY.DEVES3 MINGÜVENLIK#GüvenlikVOL. 2026 // #C61D
¿Qué es una vulnerabilidad IDOR? Autenticación vs. autorización y cómo prevenir BOLA
Si al cambiar /invoices/1042 por /invoices/1043 en la URL ves la factura privada de otro cliente, tu backend sufre IDOR (Broken Object Level Authorization), la vulnerabilidad n.º 1 del OWASP API Security Top 10.
24 de octubre de 2026 · 3 min de lecturaLeer - czCZAY.DEVES3 MINGÜVENLIK#GüvenlikVOL. 2026 // #1B02
¿Qué es un CVE y qué significa realmente una puntuación CVSS de 10.0?
Cada semana ves alertas de Dependabot y titulares con identificadores CVE y puntuaciones CVSS como 9.8 o 10.0. Así funciona el sistema global de seguimiento de vulnerabilidades y la fórmula matemática exacta detrás de un fallo crítico de 10.0.
23 de octubre de 2026 · 3 min de lecturaLeer - czCZAY.DEVES7 MINGÜVENLIK#GüvenlikVOL. 2026 // #9C6C
Alerta roja en el backend: vulnerabilidades RCE críticas en PHP, Node.js y Java (análisis de CVE)
Una oleada de vulnerabilidades críticas (CVSS 9.8+) golpea los pilares de los backends modernos: PHP, Node.js y Java. Un análisis técnico en profundidad de los exploits de ejecución remota de código (RCE) y las medidas de mitigación inmediatas.
23 de octubre de 2026 · 7 min de lecturaLeer - czCZAY.DEVES3 MINDATABASE INTERNALS#VeritabanıVOL. 2026 // #1A85
El eslabón más débil de tu sistema: la falacia de MD5 y el hash seguro de contraseñas
Guardar contraseñas en texto plano o con MD5 en tu base de datos es un error enorme. Para evitar que se descifren en segundos con rainbow tables, hay que aceptar que la velocidad es una vulnerabilidad.
18 de septiembre de 2026 · 3 min de lecturaLeer - czCZAY.DEVES2 MINSECURITY & AUTH#APIVOL. 2026 // #2AD8
JWT no está cifrado, es solo Base64
¿Quién puede ver lo que hay dentro del token JWT que se envía en cada solicitud de tu app? Respuesta: cualquiera. Qué guardan realmente los tokens, por qué basta con verificar la firma y 4 cosas que nunca debes poner en el payload.
15 de septiembre de 2026 · 2 min de lecturaLeer