Etiqueta: security

Semantic Kernel .NET 1.81.0 corrige un oráculo en FileIOPlugin: WriteAsync le decía al modelo que un archivo fuera de AllowedFolders existía, era de solo lectura y dónde estaba. Medido antes y después.

A partir del 23 de septiembre de 2026, los paquetes de Microsoft en NuGet se firman como autor con un nuevo certificado (SHA-256 9A1B131B...). Si tu nuget.config fija a Microsoft en trustedSigners, las restauraciones fallarán con NU3034. Aquí está la solución, incluido el comando dotnet nuget trust correcto.

Mantén un WebView de Flutter dentro de tu propio dominio con webview_flutter 4.14.1: analiza la URL, compara Uri.host en lugar de usar startsWith, delega mailto: y tel: a url_launcher, y conoce lo que Android e iOS realmente envían a onNavigationRequest.

Llama a .DisableAntiforgery() en ese único endpoint, o en un MapGroup. En ASP.NET Core 11 eso lo excluye tanto del middleware de tokens como de la nueva comprobación CSRF automática. Matriz medida, trampas de precedencia y alternativas más acotadas.

CVE-2026-92707: los encabezados de array anidados de MessagePack podían reutilizar los mismos bytes finales para pasar la verificación de longitud, por lo que deserializar en object asignaba miles de veces el tamaño del payload. La corrección, una prueba de antes/después, y por qué las apps de SignalR en .NET 8 a 11 RC 1 necesitan fijar el paquete directamente.

Microsoft Agent Framework .NET 1.21.0 incluye Microsoft.Agents.AI.LocalCodeAct 1.21.0-preview.260911.1, que ya no permite que el subproceso Python de CodeAct herede el entorno del proceso padre cuando Environment es null. En 1.20, el código generado podía leer todas las variables del host, incluidas las API keys.

W^X (write xor execute) es la regla de que ninguna página de memoria sea escribible y ejecutable al mismo tiempo. En .NET es la opción DOTNET_EnableWriteXorExecute, activa por defecto desde .NET 7, y existe únicamente para el JIT. Native AOT nunca la lee. Aquí está cómo la implementa el runtime, cuánto cuesta y cuándo desactivarla es una solución legítima.

Hasta ahora, la única forma de entregar los mismos servidores MCP a cada desarrollador era managed-mcp.json, un archivo en una ruta del sistema que toma el control exclusivo de MCP. Claude Code 2.1.259 agrega una configuración managedMcpServers para servidores HTTP y SSE, y de paso reduce el alcance de allowedMcpServers.

La implementación de BinaryFormatter se eliminó en .NET 9 y sigue lanzando PlatformNotSupportedException en .NET 10 y .NET 11: cómo elegir un serializador de reemplazo, leer blobs NRBF ya persistidos con NrbfDecoder y qué se rompe en WinForms, WPF y ResX.

Un symlink intercambiado después de la comprobación, reglas deny que dejaban de aplicarse a través de una ruta de búsqueda con symlink, un comando de marketplace apuntando fuera de su plugin y un script de workflow leído antes de la aprobación. Cuatro correcciones en una versión, todas el mismo fallo.