Etiqueta: security

La nueva opción sandbox.credentials en Claude Code v2.1.187 deniega la lectura de archivos de credenciales y elimina variables de entorno secretas antes de ejecutar comandos de Bash en el sandbox. Aquí está por qué la política de lectura predeterminada era un hueco, y cómo cerrarlo.

Una guía completa de TokenValidationParameters en ASP.NET Core 11: cómo funcionan ValidateIssuer, ValidateAudience y ValidateLifetime, cuáles son realmente los valores por defecto, por qué Authority configura automáticamente el emisor y las claves de firma, la trampa de los 5 minutos de ClockSkew y cómo leer los códigos de error IDX cuando se rechaza un token que parece válido.

Una guía completa de CORS para una API con token bearer en ASP.NET Core 11: el orden correcto de UseCors respecto a la autenticación, por qué un token bearer en el encabezado Authorization no es una credencial de CORS, por qué AllowAnyHeader funciona pero un comodín manual no cubre Authorization, y cómo evitar que falle el preflight.

.NET 11 Preview 5 agrega un tipo X25519DiffieHellman de primera clase a System.Security.Cryptography, para hacer intercambio de claves Curve25519 sin BouncyCastle ni NSec.

Anthropic lanzó un plugin gratuito security-guidance para Claude Code que escanea las propias ediciones del agente en busca de vulnerabilidades en tres capas, desde una coincidencia de patrones sin costo hasta una revisión agéntica al hacer commit.

El recorte de paquetes NuGet llegó activado por defecto para proyectos net10.0, reduciendo los reportes de vulnerabilidades transitivas en un 70% y los tiempos de restore hasta en un 50%.

El nuevo paquete Microsoft.AgentGovernance de Microsoft envuelve las llamadas a herramientas MCP con un kernel de políticas, un escáner de seguridad y un sanitizador de respuestas. Esto es lo que hace cada pieza y cómo se conecta en C#.

Aspire 13.2.4 incluye una actualización de OpenTelemetry para CVE-2026-40894, una amplificación de asignaciones en Gen0 al analizar los propagadores baggage, B3 y Jaeger. Actualiza OpenTelemetry.Api y OpenTelemetry.Extensions.Propagators a 1.15.3 incluso si no usas Aspire.

Una falla de validación HMAC en Microsoft.AspNetCore.DataProtection 10.0.0 a 10.0.6 deja que atacantes falsifiquen ciphertexts. .NET 10.0.7 es el fix obligatorio.

.NET 10 añade soporte nativo para los algoritmos de criptografía post-cuántica ML-KEM, ML-DSA y SLH-DSA, preparando tus aplicaciones para un futuro resistente a la computación cuántica.