Revisión de código · dos pasadas2026-08-20
Pagos, Lightning y custodia
CoinPay Security Assessment
MétodoDos pasadas de revisión de código, modelado adversarial y verificación dirigida.
AlcanceAutenticación, RLS, lógica de negocio, liquidación de pagos y controles de custodia. Los registros seleccionados se vinculan con sus advisories públicos correspondientes.
Registros seleccionados
Inicialización de clave de custodia — Cuando faltaba la clave de cifrado, el módulo de custodia utilizaba una clave determinista compuesta por 64 ceros.
Validación de liquidación x402 — El endpoint de liquidación aceptaba un recibo de transacción exitoso sin verificar su destinatario ni su monto contra el requisito de pago.
Autorización del reenvío de pagos — El endpoint de consulta de saldo carecía de autenticación y controles de propiedad, aunque podía confirmar un pago e iniciar su reenvío on-chain.
Vinculación del destino de pago — La creación de pagos aceptaba una dirección de billetera proporcionada en la solicitud sin verificar que perteneciera al comercio.
Adversarial modelingBusiness logicCustodyLightning x402Authorization
Revisión de código · verificación dinámica2026-08-14
Monorepo
ThreatCrush Monorepo Assessment
MétodoRevisión estática de código y pruebas HTTP dirigidas en un entorno Podman aislado.
AlcanceWeb, CLI, escritorio y migraciones de Supabase. Se utilizó CVSS v3.1 para registrar la severidad en el informe.
Registros seleccionados
Política de actualización RLS — La ausencia de WITH CHECK permitía a un usuario autenticado modificar el indicador administrativo de su perfil.
Carga de módulos del daemon — El daemon, ejecutado como root, importaba dinámicamente módulos sin firma instalados desde el marketplace público o fuentes Git arbitrarias.
Obtención de metadatos del lado del servidor — El endpoint de metadatos realizaba solicitudes desde el servidor sin bloquear destinos loopback, de red privada o de metadatos cloud.
Renderizado Markdown del marketplace — El renderer del marketplace insertaba HTML derivado de Markdown sin sanitizar y aceptaba enlaces javascript: en las descripciones de módulos.
Source reviewPodmanHTTP verificationSupabase RLS
Revisión de aplicación y arquitectura2026-08-15
Aplicación web y Supabase
QryptChat Web Assessment
MétodoAnálisis estático, pruebas dinámicas locales y revisión de arquitectura.
AlcanceMensajería ML-KEM-1024, RLS de Supabase, autorización RPC y APIs web.
Registros seleccionados
Cobertura de migraciones — Una corrección RLS no estaba presente en las migraciones versionadas, por lo que los despliegues nuevos no la heredaban.
Inserción de participantes en conversaciones — La política INSERT de participantes permitía a un usuario autenticado añadirse a una conversación arbitraria sin pertenencia previa ni invitación.
Exposición de la tabla de usuarios a sesiones autenticadas — Una política SELECT permisiva exponía todas las filas de la tabla de usuarios, incluidos números telefónicos, a cualquier sesión autenticada.
Source reviewSupabase RPCRLSProtocol review
Revisión de código · verificación dinámica2026-08-18
Sindicación de contenido y APIs externas
rssamplifier Security Assessment
MétodoRevisión de código con validación dirigida del manejo de entradas y controles de APIs salientes.
AlcanceRenderizado de feeds, manejo de scripts del cliente, límites, cuotas y SQL de remediación.
Registros seleccionados
Renderizado del contenido de feeds — Contenido de feeds sin escapar alcanzaba el renderizado público y permitió ejecución de scripts durante la verificación.
Controles de APIs salientes — Varios endpoints proxy carecían de límites de solicitudes y consumo para APIs externas de pago.
Input handlingAPI quotasDynamic verificationRemediation SQL
Revisión de código · anonimizada2026-08-24
SaaS de colaboración
Project PUX Security Assessment
MétodoRevisión source-to-sink con una segunda pasada independiente. La verificación dinámica quedó fuera del alcance completado aquí.
AlcanceWeb, Electron, móvil, Supabase, controles de facturación y distribución. Se omiten identificadores del cliente.
Registros seleccionados
RPC de asignación de planes — Tres rutas RPC asignaban planes de pago sin los controles de autorización previstos.
Validación del token de restablecimiento — El flujo de restablecimiento aceptaba un access token válido sin vincularlo al contexto de restablecimiento previsto.
Límite de distribución de escritorio — La revisión documentó problemas de firma, canal de actualización y límite entre renderer y proceso principal.
Supabase RLSElectron IPCDistributionBilling logic