software · 11 menciones
La consultora australiana elttam ha publicado una nueva cadena universal de gadgets de deserialización en Ruby que permite ejecución remota de código (RCE) a partir de una sola llamada a Marshal.load. Funciona sin dependencias contra Ruby 4.0.6 y, según la propia firma, también hacia atrás hasta la
El desarrollador André Arko, antiguo mantenedor de Bundler y RubyGems, describe la crisis abierta entre la comunidad de Ruby y la fundación Ruby Central. Según su relato, hace unos 18 meses Ruby Central gestionaba dos conferencias anuales, financiaba a diez colaboradores de código abierto y coordina
El lema “Matz Is Nice And So We Are Nice” (MINASWAN) ha definido durante años la cultura de la comunidad Ruby, pero un análisis crítico reciente sostiene que esa amabilidad nunca fue real y que hoy está rota. Yukihiro Matsumoto, creador de Ruby, nunca alentó explícitamente esa idea: su carácter rese
PyPI aceptó a finales de junio el PEP 752, un mecanismo que permite a una organización reservar un prefijo de nombre de paquete y bloquear nuevas subidas que coincidan con él, salvo que las envíe el titular de la reserva. Los paquetes ya existentes quedan excluidos de la norma. La medida busca frena
Una campaña bautizada SleeperGem ha sacudido a RubyGems, un registro que hasta ahora se había librado de los ataques a la cadena de suministro que sí han afectado a npm y PyPI. Un atacante publicó cuatro versiones consecutivas de un paquete nuevo llamado git_credential_manager que, en realidad, desc
Jektex es un plugin de código abierto para Jekyll que renderiza fórmulas LaTeX durante la generación del sitio, en el lado del servidor, y sirve el resultado ya compilado. De esta forma, las páginas muestran expresiones matemáticas sin necesidad de ejecutar JavaScript en el navegador, lo que reduce
La gestión de dependencias en software es un aspecto crítico para la seguridad y mantenibilidad. En este artículo, un desarrollador con experiencia en Go y Ruby argumenta que el modelo de "publicar un paquete" es inherentemente inseguro y propone que las dependencias se obtengan directamente desde e
deptrust es una herramienta de línea de comandos que verifica si una versión concreta de un paquete presenta vulnerabilidades conocidas en múltiples ecosistemas de desarrollo: npm, PyPI, Cargo, Go modules, RubyGems, NuGet, Maven, Packagist, pub.dev, CocoaPods, Hex.pm, Hackage y GitHub Actions. Funci
Bundler 4.0.13 incorpora una nueva función de seguridad opcional llamada cooldown: un filtro temporal que rechaza cualquier versión de un gem publicada en los últimos N días. El mecanismo ataca una debilidad conocida de la cadena de suministro de RubyGems: la mayoría de exploits aprovechan la ventan
Este informe, elaborado por Richard Schneeman tras la llamada "RubyGems Fracture" de septiembre-octubre de 2025, detalla una crisis que afectó a la comunidad Ruby y a la gestión de RubyGems.org. La situación surgió de la necesidad de separar a dos ingenieros salientes, André Arko y Samuel Giddins, d
Para combatir los ataques a la cadena de suministro de software, gestores de paquetes como npm, Yarn, Bun, pnpm, uv y otros están adoptando 'cooldowns' o periodos de espera para la instalación de nuevas versiones de paquetes. Esta medida, que implica retrasar la instalación de un paquete recién publ
