Etiqueta: security

Un campo headersHelper en los marketplaces url y en las entradas del catálogo ejecuta un comando local que imprime encabezados HTTP, así que un catálogo interno de plugins detrás de S3 o de un repositorio de artefactos puede autenticarse con un token de corta duración. Este es el esquema, el mensaje de consentimiento y los nombres de encabezado que Claude Code descarta.

El hotfix 3.47.1 valida los identificadores de clase y paquete de los plugins antes de que lleguen a GeneratedPluginRegistrant. Este es el agujero que cierra, la expresión regular que lo cierra y las otras 11 correcciones de la versión.

Semantic Kernel .NET 1.80.0 trae un cambio incompatible: el HttpClient por defecto del plugin de OpenAPI ya no sigue redirecciones y cierra un bypass de SSRF. Esto es lo que cambia y por qué tu propio HttpClient reabre el agujero.

Guía completa para redactar datos clasificados en registros generados por código fuente: construye una taxonomía, escribe un Redactor, conecta EnableRedaction y AddRedaction, y entiende el discriminador que rompe silenciosamente el enmascarado parcial. Con salida real de Microsoft.Extensions.Compliance.Redaction 10.9.0.

.NET 11 Preview 7 agrega entradas ZIP protegidas con contraseña a System.IO.Compression, con soporte de AES-256, tipos de opciones para operaciones sobre directorios completos y un error con archivos vacíos que ya está corregido en main.

El changelog de GitHub del 6 de agosto de 2026 agrega allowedMcpServers y deniedMcpServers a copilot/managed-settings.json. Matchers por URL y argv, precedencia de la denegación y un valor por defecto que falla en cerrado, algo que el registro basado en nombres nunca tuvo.

NuGet.org elimina la opción de API key de 365 días el 2026-08-17, limita las nuevas a 30 días y expira el 1 de noviembre toda key creada antes de esa fecha. Esto es lo que se rompe y cómo mover tu flujo de publicación a trusted publishing con OIDC.

Preview 6 rechaza por defecto las solicitudes entre orígenes no seguras del navegador, leyendo el encabezado Sec-Fetch-Site en lugar de un token antiforgery. Esto es lo que bloquea y cómo excluir endpoints.

Cato AI Labs reveló CVE-2026-50548 y CVE-2026-50549, un par de fallos con CVSS 9.8 en el sandbox de terminal de Cursor. Una respuesta MCP o un resultado web envenenado puede escapar del sandbox y ejecutar código. Cursor 3.0 es la solución.

Una configuración completa y funcional de autenticación JWT bearer en una minimal API de ASP.NET Core 11: instalar el paquete, conectar AddAuthentication().AddJwtBearer(), emitir un token, proteger endpoints con RequireAuthorization, agregar políticas de rol y de claim, y probarlo todo con dotnet user-jwts.