SecureChain para software de código abierto

Puntos clave: La sustitución de la fuente de carga supone que la sustitución se aplica al mismo contenido de la caja, por lo que no es necesario realizar cambios en el archivo del proyecto. La selección por parte del registro evalúa una caja en función de lo que...

Puntos clave: Packagist indexa las etiquetas de Git en lugar de alojar los artefactos, por lo que, hasta julio de 2026, una versión publicada podría redirigirse discretamente a un commit diferente. En 2026 se produjeron dos incidentes en los que...

Puntos clave: Un paquete abandonado sigue pudiéndose instalar a través de Packagist, con todas sus vulnerabilidades CVE pendientes, ya que la corrección de paquetes nunca ha sido tarea de Packagist. SecureChain recompila y filtra los paquetes de PHP antes de su instalación, y luego mantiene...

Puntos clave: Public PyPI comprueba quién ha publicado un paquete, no qué hace dicho paquete. SecureChain analiza y recompila los paquetes antes de que lleguen a tu entorno. Los artefactos recompilados tienen nuevos hash, por lo que...

Aparece un identificador CVE en tu terminal, asociado a un paquete que nunca has instalado a propósito, y tu primer impulso es pensar en lo peor. A todos nos ha pasado alguna vez. Estos...

Puntos clave: Socket bloquea los paquetes maliciosos independientemente del nivel de dependencia y ahora aplica parches retroactivamente en nueve ecosistemas. Sonatype Firewall filtra el tráfico entrante, pero te recomienda actualizar en lugar de...

Puntos clave: En diciembre de 2025, un paquete publicado en un segmento del espacio de nombres distinto al de Jackson sirvió Cobalt Strike desde Maven Central; no hubo ningún CVE implicado. Maven Central verifica el control de un espacio de nombres...

Puntos clave: Un script malicioso «build.rs» se ejecuta durante el proceso «cargo build» con los privilegios del proceso que haya invocado Cargo. La versión estable de Cargo no ofrece ninguna forma oficial de compilar un árbol de dependencias...

Puntos clave: En el caso de las versiones fijas, Maven consulta los repositorios por orden y toma las coordenadas del primero que las tenga. El propio POM de una dependencia puede añadir repositorios a tu compilación,...

Puntos clave: npm audit solo puede comparar tu árbol con los datos de los avisos, por lo que una versión maliciosa publicada hace una hora no se detectará. Para subsanar esa carencia se necesita algo más que un...

Puntos clave: Cargo Audit solo tiene constancia de los avisos que alguien haya presentado ya. Los scripts de compilación y las macros de procesamiento ejecutan código arbitrario en tiempo de compilación, y la versión estable de Cargo no puede desactivar esa función. Un...