CVE
9 artículos con esta etiqueta
Qué CVE parchear primero: qué mide de verdad CVSS, EPSS y KEV
CVSS es gravedad, EPSS es probabilidad de explotación y KEV es explotación confirmada. No se sustituyen entre sí. Nuestros datos de las 1.695 entradas de KEV: el 64 % está por debajo de CVSS 9 y el 24 % por debajo de EPSS 0,1, así que tanto «parchear solo lo de puntuación alta» como «EPSS bajo, que espere» fallan en la práctica. Ordena por KEV, luego EPSS, luego CVSS, y fija el plazo según tu propia exposición.
¿Next.js y React tienen muchas vulnerabilidades? Lo que muestran realmente los datos de CVE
Los datos dicen que el núcleo de React casi no tiene CVE, mientras que los de Next.js son numerosos y van en aumento. Lo que importa es dónde aparecen: en el middleware, la caché, la optimización de imágenes y las Server Actions, con SSRF, deserialización y elusión de la autorización a la cabeza de los CWE. La conclusión de este sitio: Next.js no debe tratarse solo como un framework de front-end. Funciona como un servidor, así que defiéndelo como tal: vuelve a autorizar junto a los datos, usa una lista de permitidos para las peticiones salientes y pon los puntos de acceso de las Server Actions detrás de autenticación.
Corregir CVE de dependencias de verdad: escanear, corregir, aislar y seguir vigilando
El trabajo de vulnerabilidades no termina cuando «lo corriges». Hecho = 1) escanear, 2) corregir, 3) aislar/delegar, 4) monitorear. Hasta que el monitoreo (detección diaria de cambios) esté en marcha, está incompleto — las dependencias vuelven a ser vulnerables mañana. Una corrección perfecta que el siguiente despliegue sobrescribe vale cero. Los equipos pequeños se mantienen seguros con dos disciplinas: detección automatizada de cambios y «local→push→deploy».
Instalar y usar osv-scanner: encuentra automáticamente CVE en tus dependencias
osv-scanner escanea lockfiles y contenedores para sacar a la luz CVE en tus dependencias, gratis. Esto recorre la instalación, la ejecución y la integración en CI, además de cuándo usarlo frente a npm/pnpm audit y Dependabot. La visión de este sitio: qué herramienta encaja depende de tu configuración. Usa osv-scanner en proyectos multiecosistema o sin GitHub, y al pnpm audit incluido para un único árbol npm.
¿Qué es un CVE? Cómo funciona el sistema compartido de identificadores de vulnerabilidades
Un CVE es un identificador compartido a nivel global para una vulnerabilidad (p. ej. CVE-2025-12345). CVE = el nombre, CVSS = la gravedad, KEV = si se explota. Es el ancla del monitoreo. Síguelo con máquinas, no a mano.
Qué es la RCE (ejecución remota de código): por qué es la peor clase de fallo
La RCE permite a un atacante ejecutar código arbitrario en tu servidor: directo a la toma de control, la peor clase. Hasta dónde se extiende el daño lo determinan los privilegios del proceso en ejecución. Las defensas centrales son el parcheo rápido, la monitorización de CVE y los privilegios mínimos.
Filtración de Equifax (2017) — cómo un fallo de Apache Struts sin parchear expuso a 147M de personas
La causa fue un CVE conocido y ya parcheado (CVSS 10.0) dejado sin aplicar en un sistema público. Un certificado de monitorización caducado ocultó la exfiltración durante 76 días. En tu entorno: inventario de activos, un SLA de parcheo, monitorización automática y detección saludable.
Log4Shell (CVE-2021-44228) — un fallo en una librería de logging, y por qué los equipos no podían saber rápido si la usaban
El fallo de CVSS 10.0 de Log4j. El problema de fondo era la dependencia transitiva: estar afectado a través de una librería que no sabías que usabas. Un camino pasivo de registro de logs se convirtió en vector de ataque. SBOM, monitorización automática, parcheo rápido y seguir los CVE de seguimiento son las lecciones.
Ejecutar Next.js de forma segura: no quedarse atrás con los CVE publicados
El mayor riesgo del framework son los CVE publicados descuidados. Defiende con cuatro prácticas: juzgar por la versión en ejecución, monitorear con Dependabot/osv-scanner, actualizar rápido, y operar con mínimo privilegio. La visión de este sitio: lo que suele faltar a los desarrolladores indie no es conocimiento sino una forma de mantener la operación; un sistema que no pase por alto los CVE importa más que la velocidad.