La librería Axios (con 80 millones de descargas semanales) ha sido hackeada al inyectar malware en versiones recientes, afectando a millones de proyectos JavaScript.

Un sofisticado ataque a la cadena de suministro ha afectado a Axios, uno de los clientes HTTP más utilizados en el ecosistema JavaScript, al introducir una dependencia transitiva maliciosa en el registro oficial de npm. Como componente crítico en frameworks frontend, microservicios backend y aplicaciones empresariales, Axios registra aproximadamente 83 millones de descargas semanales en npm.

Recientemente se descubrió una vulnerabilidad crítica de Universal Cross-Site Scripting (UXSS) en el navegador Android de DuckDuckGo. Este fallo permitía que iframes no confiables de origen cruzado ejecutaran JavaScript arbitrario en el origen de nivel superior, con una puntuación CVSS de gravedad alta de 8.6. La vulnerabilidad fue detallada originalmente en una publicación de Medium por el investigador de seguridad Dhiraj Mishra.

Un actor de amenazas conocido como GrayCharlie ha estado comprometiendo sitios web de WordPress desde mediados de 2023, insertando silenciosamente JavaScript malicioso para distribuir malware a los usuarios que los visitan. El grupo tiene coincidencias con el clúster previamente rastreado como SmartApeSG, también llamado ZPHP o HANEMONEY. 

El proyecto ZAP (Zed Attack Proxy), un escáner de seguridad de aplicaciones web de código abierto ampliamente utilizado, ha revelado una fuga crítica de memoria en su motor JavaScript. Este fallo, probablemente presente desde hace algún tiempo, ahora interrumpe los flujos de trabajo de escaneo activo tras la introducción de una nueva regla de escaneo JavaScript en el complemento OpenAPI. 

Brendan Eich, creador de JavaScript, critica duramente Windows 11 por su dependencia de WebView2 y Electron, argumentando que perjudican el rendimiento, aumentan el tamaño del sistema y deterioran la experiencia de usuario al abandonar el código nativo.

 Como vimos en la entrada aanterior, Ollama nos permite interactuar con LLMs de una forma sencilla y transparente. Mucho más allá de realizar ciertas pruebas sencillas o iniciarnos en el mundo de los LLMs para comprobar su funcionamiento, en el mundo de desarrollo software se suelen necesitar opciones más avanzadas y personalizadas. En este entrada exploraremos estas opciones avanzadas que nos ofrece Ollama para poder personalizar nuestros modelos, así como hacer uso de su API y poder sacarle todo el partido para crear aplicaciones de IA.

Más de 100,000 sitios web han sido afectados por un ataque a la cadena de suministro a través del servicio Polyfill.io. Este ataque se produjo después de que una empresa china adquiriera el dominio y modificara el script para redirigir a los usuarios a sitios maliciosos y de estafa.

La capacidad para ejecutar mods en Minecraft se ha convertido en una de sus mejores bazas, pero en los últimos días se ha convertido en el combustible para las pesadillas de muchos. Y todo gracias a un exploit de Minecraft bautizado como BleedingPipe, el cual afecta a la versión Java del juego y convierte a tu PC y a los servidores del juego en una vía de entrada fácil para los hackers con intenciones maliciosas.

Se estima que, desde 2017, más de un millón de sitios web de WordPress han sido infectados por una campaña en curso para desplegar malware llamado Balada Injector.

Cuando se maneja con precaución, el Navegador Tor (Tor Browser) es seguro y legal para usar en dispositivos de escritorio y Android en la mayoría de los países. Tor proporciona más anonimato que un navegador web normal al pasar su tráfico web a través de tres capas de cifrado. Sin embargo, el uso de Tor puede ponerte en riesgo de fugas de datos, espionaje y ataques man-in-the-middle a través de nodos de salida maliciosos.

No es un secreto que Instagram y Facebook pueden rastrear la navegación web, a través de diversos sistemas, y ahora conocemos a fondo uno de sus trucos. Cuando abrimos una página en el navegador integrado en iOS o Android, se añade código adicional que controla la actividad, lo que serviría para mostrar publicidad personalizada.

Casi todos hemos copiado un comando desde la web para pegarlo en el terminal. No es algo que hagan solo usuarios novatos en Linux, sino en cualquier sistema, y es tan común entre los mismos desarrolladores -hasta los más veteranos- que la misma Stack Overflow convirtió su teclado para 'copiar y pegar' en un gadget real con bastante demanda.

Los actores de amenazas confían cada vez más en la técnica del HTML smuggling en campañas de phishing como un medio para obtener acceso inicial y desplegar una variedad de amenazas, incluido el malware bancario, los troyanos de administración remota (RAT) y el ransomware.

El grupo de cibercriminales Magecart está distribuyendo ‘shells’ web PHP disfrazadas de ‘favicons’ para mantener acceso a los servidores comprometidos e inyectar ‘skimmers’ desarrollados en JavaScript con el objetivo de robar información bancaria de los usuarios.

Google Chrome es el navegador web más usado del mercado y acapara una cuota de mercado cercano al 70%. Ello quiere decir que cualquier problema de seguridad afecta a decenas de millones de internautas. Y en este caso más, porque también afecta a otros navegadores basados en Chromium, como Edge, Opera o Vivaldi. Un error en el motor V8 JavaScript