RCE pre-auth sin parche en Argo CD repo-server permite takeover de clusters K8s
Synacktiv descubrió un flaw sin parche en el componente repo-server de Argo CD que permite a un atacante no autenticado ejecutar código, siempre que alcance el puerto interno del componente. Argo CD es GitOps estándar en producción para deploy a Kubernetes; comprometer repo-server implica acceso a manifiestos, secrets y potencial pivote a control total del cluster. El blast radius es alto en shops que exponen el puerto interno o tienen segmentación de red débil. Acción inmediata: verificá exposición de red del repo-server, restringí acceso al puerto interno vía NetworkPolicies, y monitoreá el advisory de Argo para el parche. No hay fix aún: mitigá por red.
Leer nota completa
Adobe parchea 7 vulnerabilidades CVSS 10.0 en ColdFusion y Campaign Classic
Adobe liberó parches para múltiples flaws de máxima severidad (CVSS 10.0) en ColdFusion y Campaign Classic que permiten arbitrary code execution y privilege escalation. ColdFusion es histórico blanco de explotación masiva post-disclosure (patrón repetido en 2023-2024 con CVEs añadidas a KEV de CISA en días). El score 10.0 implica explotación remota sin autenticación ni interacción. Si corrés ColdFusion expuesto a internet, la ventana entre parche y exploit público es de horas a días. Acción: parchear YA, no esperar ventana de mantenimiento. Auditá logs por indicios de explotación previa y considerá que instancias sin parchear ya pueden estar comprometidas.
Next.js 16.3: Turbopack con persistent cache, React Compiler en Rust e instant navigations
Vercel shippeó Next.js 16.3 con mejoras sustanciales en Turbopack: memory eviction en dev, persistent file cache para builds (reduce cold builds en CI), React Compiler experimental reescrito en Rust y soporte de import.meta.glob. Suma instant navigations que acercan la responsiveness de una SPA al modelo server-centric, y errores accionables con prompts paste-ready para agentes de IA. El persistent file cache es el cambio más tangible para equipos con builds grandes y pipelines CI/CD lentos. Acción: si estás en 16.x, evaluá upgrade por el cache de builds; probá el React Compiler en Rust en branch aislado antes de producción (sigue experimental).
Qué significa el panorama y qué conviene tener en cuenta.
En una mirada
Día cargado en seguridad e infra. Argo CD tiene un RCE pre-auth sin parche en repo-server que permite takeover de clusters Kubernetes. Adobe parchea 7 CVSS 10.0 en ColdFusion y Campaign Classic. Cursor expone flaws críticas de prompt injection con escape de sandbox. En frameworks, Next.js 16.3 trae Turbopack con persistent file cache, React Compiler en Rust experimental e instant navigations. Anthropic recibe release global de Fable 5/Mythos tras levantarse export controls. Progress Kemp LoadMaster bajo explotación activa. Scattered Spider: extradición de sospechoso de 19 años.
Lo esencial
Prioridad absoluta esta semana: mitigar Argo CD por red (sin parche disponible) y parchear ColdFusion y Kemp LoadMaster hoy — los tres son takeover-level con LoadMaster ya explotado activamente. En paralelo, actualizá Cursor y auditá cualquier modelo corriendo con trust_remote_code=True antes de tocar el upgrade de Next.js 16.3.
Patrones del día
Seguridad en herramientas de IA para devs: flaws críticas de prompt injection en Cursor con escape de sandbox y ejecución de comandos sin clic, más el hallazgo de modelos con trust_remote_code=True corriendo código no revisado. La superficie de ataque del tooling agentic (editores, MCP servers, contenedores de modelos) es el nuevo supply chain sin governance maduro.
Infra y frameworks convergen hacia el 'agentic future': Next.js 16.3/16.2 con AGENTS.md, MCP integration y errores paste-ready para agentes; Vercel Ship 2026 pivotea a infraestructura para agentes; konsistent como linter para código de agentes+humanos. El tooling se está rediseñando asumiendo que quien escribe código es tanto humano como LLM.
GitHub Advisory Database reporta volumen récord de vulnerabilidades, rompiendo su capacidad de procesamiento. Contrapunto implícito: el aumento no es solo más ataques, sino ruido inflado por reportes automatizados/IA de baja calidad que saturan el triage. Señal de que las métricas de CVE volume están perdiendo valor como proxy de riesgo real.
Claude Opus · Hacker News, dev.to, GitHub Blog, Next.js y TechCrunch. Análisis IA — puede contener errores.