Corregido
CVE-2026-97660
WPC Product Options for WooCommerce
XSS almacenado en opciones de producto
Detalles y evidenciasCiberseguridad · Investigación y código abierto
Seguridad.
Con pruebas.
Encuentro vulnerabilidades y contribuyo a su corrección. Mi trabajo va mucho más allá de los CVE, informes y parches que puedo compartir aquí.
Revisado el Total: mi documentación de casos
Divulgación responsable
Solo una parte del trabajo es pública.
Muchos más hallazgos ya han sido aceptados o recompensados, pero sus detalles siguen siendo confidenciales. Las correcciones en curso, los plazos de divulgación acordados y los compromisos de confidencialidad determinan cuándo puedo hablar de ellos.
- Corrección en curso
- Plazos de divulgación
- Confidencialidad y NDA
Otros informes siguen en revisión. No se incluyen en el total de informes aceptados.
- Solicitud
- Revisión
- Aprobado
CVE / WORDPRESS
CVE públicos5
Un CVE es una evidencia pública, no el número total de mis hallazgos. Aquí puedes consultar los identificadores, su estado actual y las fuentes originales.
Parche pendiente
CVE-2026-75098
Product Designer App
Protección de archivos del servidor en un plugin de diseño
Detalles y evidenciasCorregido
CVE-2026-81754
Vigilant
XSS almacenado en un plugin de seguridad
Detalles y evidenciasCorregido
CVE-2026-32480
WCFM Membership
Control de acceso a membresías
Detalles y evidenciasCorregido
CVE-2026-57709
Membership for WooCommerce
Protección de archivos en un plugin de membresías
Detalles y evidenciasPORTFOLIO / 2026
Mi trabajo, documentado.
CVE, informes, parches y reconocimientos. Cada entrada identifica mi contribución, su estado y las fuentes originales.
69 de 69 resultados visibles
XSS almacenado en opciones de productoCorregido
Mi hallazgo afecta a la presentación segura de datos de pedidos en el plugin de WooCommerce. Wordfence y el registro CVE me atribuyen el descubrimiento. La vulnerabilidad se corrigió en la versión 4.0.6.
- Mi contribución
- Descubierto y comunicado
- Documentado el
- Corregido en
- 4.0.6
- Atribución pública
- Sebastian Albrecht (mySebbe)
Protección de archivos del servidor en un plugin de diseñoParche pendiente
Mi hallazgo comunicado afecta al acceso a archivos del servidor. Wordfence lo publicó el 29 de septiembre de 2026 y el registro CVE confirma mi atribución. En la fecha de revisión de este registro no consta ningún parche.
- Mi contribución
- Descubierto y comunicado
- Documentado el
- Atribución pública
- Sebastian Albrecht (mySebbe)
XSS almacenado en un plugin de seguridadCorregido
Un fallo que comuniqué en el registro de auditoría de un plugin de seguridad de WordPress. Tanto el registro CVE como el historial del proveedor me atribuyen el descubrimiento.
- Mi contribución
- Descubierto y comunicado
- Documentado el
- Corregido en
- 2.10.3
- Atribución pública
- Sebastian Albrecht
Control de acceso a membresíasCorregido
Un problema de control de acceso que comuniqué. Patchstack y el proveedor reconocen el hallazgo bajo mi alias mySebbe.
- Mi contribución
- Descubierto y comunicado
- Documentado el
- Corregido en
- 2.12.0
- Atribución pública
- mySebbe
Protección de archivos en un plugin de membresíasCorregido
Mi hallazgo, comunicado a través de Patchstack, afecta a la eliminación indebida de archivos. El registro CVE oficial me atribuye el descubrimiento como sebbe_alb.
- Mi contribución
- Descubierto y comunicado
- Documentado el
- Corregido en
- 3.1.1
- Atribución pública
- sebbe_alb
Hallazgo en Vigilant en el informe semanal de WordfencePublicado
El informe semanal oficial documenta mi hallazgo publicado y menciona a Sebastian Albrecht en su lista de investigadores. Se enlazan tanto el artículo como mi perfil.
- Mi contribución
- Mencionado en la publicación
- Documentado el
Aplicar las comprobaciones de autenticación de forma coherenteCorregido
Una corrección del proveedor en NodeBB 4.16.0 resolvió mi hallazgo comunicado. Las fuentes públicas documentan la integración de las comprobaciones de plugins. El proveedor confirmó la relación con mi informe; el código pertenece al equipo de NodeBB.
- Mi contribución
- Comunicado · corrección del proveedor
- Documentado el
- Corregido en
- 4.16.0
La federación respeta los límites de las categoríasIntegrado
Mi parche integrado impide que las publicaciones cruzadas hacia categorías no federadas se sigan distribuyendo por la federación.
- Mi contribución
- Mi código y mis pruebas
- Documentado el
Presentación segura de pedidos en WooCommerceCorregido
El proveedor reconoce mi divulgación responsable en el historial de la versión 1.36.11. La corrección evita XSS almacenado al mostrar datos de pedidos. Por ahora no se ha verificado una atribución CVE pública para este hallazgo.
- Mi contribución
- Descubierto y comunicado
- Documentado el
- Corregido en
- 1.36.11
- Atribución pública
- Sebastian Albrecht
Hallazgo en WCFM en el informe semanal de WordfencePublicado
El informe semanal oficial documenta mi hallazgo publicado y menciona a Sebastian Albrecht en su lista de investigadores. Se enlazan tanto el artículo como mi perfil.
- Mi contribución
- Mencionado en la publicación
- Documentado el
Proteger los roles de usuario en procesos de pago antiguosCorregido
El proveedor atribuye a mySebbe una segunda corrección de seguridad para proteger los roles de usuario frente a cambios no autorizados en procesos de pago antiguos. La versión 2.12.0 retira los componentes afectados. Esta entrada es distinta del fallo de control de acceso CVE-2026-32480; no se ha verificado otra atribución CVE.
- Mi contribución
- Descubierto y comunicado
- Documentado el
- Corregido en
- 2.12.0
- Atribución pública
- mySebbe (Patchstack)
Destinos de retorno seguros tras iniciar sesiónIntegrado
Mi parche y sus pruebas limitan los destinos de retorno a rutas internas. La contribución se integró en NodeBB.
- Mi contribución
- Mi código y mis pruebas
- Documentado el
Permisos de archivos de configuración sensiblesPublicado
Mi informe público documenta permisos de archivo demasiado amplios en el instalador VPS y propone permisos restrictivos y pruebas de regresión. El issue está cerrado; eso por sí solo no confirma una corrección del proveedor.
- Mi contribución
- Investigado y comunicado públicamente
- Documentado el
Gestión robusta de marcas de tiempo de archivosInforme abierto
Informe público sobre un fallo de la copia de seguridad ante marcas de tiempo que no se pueden representar. Lo describo expresamente como un problema de fiabilidad, sin atribuirle un impacto de seguridad más amplio.
- Mi contribución
- Mi informe de error
- Documentado el
Ciclo de vida de memoria en estadísticas de redCorregido
La salida de estadísticas de red accedía a memoria ya liberada. Mi informe público y la corrección integrada del proveedor documentan la solución.
- Mi contribución
- Mi informe de error
- Documentado el
- Atribución pública
- Sebastian Albrecht
Procesamiento seguro de informesCorregido
Mi hallazgo dio lugar a cambios en el procesamiento de informes. El parche público del proveedor limita los campos aceptados y refuerza las comprobaciones de autorización.
- Mi contribución
- Comunicado · corrección del proveedor
- Documentado el
Interpretación correcta de filtros de fechaInforme abierto
Documento un análisis de fechas que interpreta un año como una hora del día y, por ello, puede omitir archivos de una copia de seguridad.
- Mi contribución
- Mi informe de error
- Documentado el
Descriptores de archivo en rutas de errorInforme abierto
Mi informe examina el ciclo de vida de los descriptores de archivo tras un error al establecer una conexión de red. La discusión pública sigue abierta.
- Mi contribución
- Mi informe de error
- Documentado el
Enlaces de identidad verificables en perfilesIntegrado
Mi corrección integrada restaura rel="me" en el enlace al sitio web del perfil y permite volver a vincular identidades, por ejemplo para la verificación en Mastodon. Los demás enlaces del perfil no se consideran automáticamente pruebas de identidad.
- Mi contribución
- Código aportado
- Documentado el
Enlaces de identidad verificables en perfilesIntegrado
Mi corrección integrada restaura rel="me" en el enlace al sitio web del perfil y permite volver a vincular identidades, por ejemplo para la verificación en Mastodon. Los demás enlaces del perfil no se consideran automáticamente pruebas de identidad.
- Mi contribución
- Código aportado
- Documentado el
Gestionar permisos de categorías mediante la APIIntegrado
Mi contribución integrada permite copiar permisos de categorías mediante la API v3. Conserva las comprobaciones de administrador y valida las entradas, incorporando una función de gestión con límites de permisos explícitos.
- Mi contribución
- Código aportado
- Documentado el
Notificar como error los archivos de entrada ilegiblesInforme abierto
Mi informe identifica cómo puede omitirse un archivo de entrada ilegible mientras la copia de seguridad informa de un resultado correcto.
- Mi contribución
- Mi informe de error
- Documentado el
Detectar fallos de asignación al crear archivosInforme abierto
Describo cómo un fallo de asignación de memoria durante la creación de la cabecera puede devolver un estado de éxito aunque el flujo del archivo sea ilegible.
- Mi contribución
- Mi informe de error
- Documentado el
Comprobar la compatibilidad de claves antes de migrar archivosInforme abierto
Mi informe examina la migración de archivos con conjuntos de claves incompatibles, centrándose en la integridad de los datos y el orden de validación y eliminación.
- Mi contribución
- Mi informe de error
- Documentado el
Guía de PostgreSQL para NodeBBIntegrado
Mi contribución de documentación, ya integrada, explica cómo ejecutar NodeBB con PostgreSQL.
- Mi contribución
- Mi documentación
- Documentado el
Restablecer contraseñas mediante el nombre de usuarioEn revisión
Mi propuesta permite solicitar la recuperación de contraseñas mediante el nombre de usuario. Las respuestas uniformes y los límites existentes buscan proteger la privacidad de las cuentas. La solicitud sigue abierta y todavía no se ha integrado.
- Mi contribución
- Propuesta de código enviada
- Documentado el
Exportación robusta de claves criptográficasCorregido
Mi informe público trata sobre un fallo al exportar claves. El proveedor integró la corrección en la solicitud #808 el 22 de septiembre de 2026.
- Mi contribución
- Comunicado · corrección del proveedor
- Documentado el
- Atribución pública
- Sebastian Albrecht
Validar indicadores de bloques almacenadosCorregido
Mi informe trata sobre indicadores inválidos en metadatos de bloques y su efecto en la gestión de memoria. La corrección del proveedor valida estos datos al leerlos.
- Mi contribución
- Mi informe de error
- Documentado el
- Atribución pública
- Sebastian Albrecht
Rutas inequívocas para salidas CSVInforme abierto
Mi informe examina las rutas relativas de salida CSV cuando cambia el directorio de trabajo, incluidas posibles sobrescrituras involuntarias.
- Mi contribución
- Mi informe de error
- Documentado el
Validación de entrada de archivos de clavesInforme abierto
Documenté el rechazo tardío de una ruta vacía para un archivo de claves. El informe se centra en una validación temprana e inequívoca.
- Mi contribución
- Mi informe de error
- Documentado el
Coherencia local durante la rotación de clavesInforme abierto
Mi informe de seguimiento sobre la rotación de claves examina la coherencia entre las eliminaciones remotas y los directorios de bloques locales.
- Mi contribución
- Mi informe de error
- Documentado el
Datos de transacción durante la recuperaciónInforme abierto
Documento una confusión entre datos de transacción al recuperar un punto de control guardado.
- Mi contribución
- Mi informe de error
- Documentado el
Gestión de límites de tiempo relativoInforme abierto
Mi informe examina grandes desplazamientos de tiempo relativo y la gestión de errores durante la conversión de valores temporales.
- Mi contribución
- Mi informe de error
- Documentado el
Rutas de error en la comprobación de archivosInforme abierto
Examino una ruta de fallo de asignación durante las comprobaciones de coherencia y sus consecuencias para los bloques de datos existentes.
- Mi contribución
- Mi informe de error
- Documentado el
Coherencia de los metadatos de bloques almacenadosInforme abierto
Mi informe sigue la propagación de metadatos de tamaño dañados desde la caché de bloques hasta los índices de archivo recién generados.
- Mi contribución
- Mi informe de error
- Documentado el
Evaluar correctamente los filtros de fecha relativosInforme abierto
Documenté una evaluación incorrecta de fechas relativas. Una fecha límite errónea puede hacer que una copia de seguridad no encuentre archivos coincidentes.
- Mi contribución
- Mi informe de error
- Documentado el
Admitir marcas de tiempo posteriores a 2038Informe abierto
Mi informe examina la gestión de fechas posteriores a 2038 en sistemas con valores de tiempo de 64 bits.
- Mi contribución
- Mi informe de error
- Documentado el
Detectar metadatos de caché dañadosInforme abierto
Documento cómo unos metadatos de caché dañados pueden bloquear copias posteriores si el cliente sigue tratándolos como disponibles.
- Mi contribución
- Mi informe de error
- Documentado el
Detectar desbordamientos de fechasInforme abierto
Informe público sobre la validación de entradas numéricas de fecha muy grandes, orientado a detectar pronto valores de tiempo inválidos.
- Mi contribución
- Mi informe de error
- Documentado el
Gestión de errores en la generación de clavesCorregido
Mi informe público documenta un problema en la generación de claves y en la limpieza tras un error. El proveedor integró la corrección en la solicitud #878.
- Mi contribución
- Comunicado · corrección del proveedor
- Documentado el
- Atribución pública
- Sebastian Albrecht
Liberar metadatos de forma segura tras errores de salidaCorregido
Comuniqué un problema en la liberación de metadatos del archivo tras un fallo de salida. El parche integrado del proveedor corrige la ruta de error afectada.
- Mi contribución
- Mi informe de error
- Documentado el
- Atribución pública
- Sebastian Albrecht
Hacer visibles los errores de lectura al archivarInforme abierto
Documento la gestión de errores de lectura durante las copias de seguridad. El informe examina si datos incorrectos pueden aparecer como archivados correctamente.
- Mi contribución
- Mi informe de error
- Documentado el
Coherencia tras un corte de alimentaciónCorregido
Documenté una discrepancia entre una transacción remota y el directorio local de bloques tras un corte de alimentación. La corrección integrada mejora el almacenamiento duradero de los cambios del directorio local.
- Mi contribución
- Mi informe de error
- Documentado el
- Atribución pública
- Sebastian Albrecht
Interpretación coherente de las identidades de firmaCorregido
Comuniqué una interpretación incoherente de las identidades de firma. La corrección pública del proveedor alinea la interpretación del middleware con la de la biblioteca.
- Mi contribución
- Comunicado · corrección del proveedor
- Documentado el
Pruebas de regresión para tokens de restablecimientoIntegrado
Mis pruebas verifican que, al eliminar una dirección de correo, también se borran sus tokens de restablecimiento asociados.
- Mi contribución
- Mi código y mis pruebas
- Documentado el
Pruebas de regresión para cambios de cuentaIntegrado
Aporté pruebas de regresión para el seguimiento de sesiones al cambiar de cuenta. La corrección del proveedor y mis pruebas son contribuciones separadas.
- Mi contribución
- Mi código y mis pruebas
- Documentado el
Aplicar las reglas del chat a los mensajes de ActivityPubCorregido
Mi informe trata sobre la aplicación de las reglas locales del chat a los mensajes federados. La corrección del proveedor incorpora las políticas de mensajería existentes a la comprobación.
- Mi contribución
- Comunicado · corrección del proveedor
- Documentado el
Pruebas para mensajes federados y reglas del chatEn revisión
Mi contribución pública añade pruebas de regresión para las comprobaciones de origen y las políticas del chat. El pull request sigue abierto.
- Mi contribución
- Mis pruebas · en revisión
- Documentado el
Límites de acceso para actividades de ActivityPubCorregido
Mi informe trata sobre los límites de acceso de las actividades federadas. El commit público del proveedor restringe el procesamiento de las actividades Announce afectadas.
- Mi contribución
- Comunicado · corrección del proveedor
- Documentado el
Aplicar las reglas de registro hasta su finalizaciónIntegrado
Mi cambio vuelve a comprobar las reglas de registro e invitación antes de completar una inscripción pendiente.
- Mi contribución
- Mi código y mis pruebas
- Documentado el
Comprobar el estado de eliminación antes de una actualizaciónIntegrado
Mi parche vuelve a validar el estado de eliminación antes de distribuir una publicación editada en tiempo real.
- Mi contribución
- Mi código y mis pruebas
- Documentado el
Atribución pública por un fallo en la contabilidad de deudaReconocido
El proyecto reconoce mi informe sobre un fallo en la contabilidad de deuda en su documentación de seguridad y enlaza directamente mi perfil de GitHub mySebbe. Este reconocimiento no acredita una CVE, una versión corregida ni una remuneración.
- Mi contribución
- Descubierto y comunicado
- Documentado el
- Atribución pública
- mySebbe
Mención en el informe semanal de WordfencePublicado
Wordfence me incluye como sebbe_alb entre los investigadores que contribuyeron del 6 al 12 de julio de 2026. El artículo enlaza mi perfil y el hallazgo correspondiente.
- Mi contribución
- Mencionado en la publicación
- Documentado el
Verificar el origen de los autores federadosCorregido
Mi hallazgo trata sobre la atribución de autores federados. La corrección del proveedor comprueba que el origen coincida con el remitente autenticado.
- Mi contribución
- Comunicado · corrección del proveedor
- Documentado el
Eliminar direcciones IP de los eventos de ediciónCorregido
Mi informe trata sobre la exposición innecesaria de direcciones IP en eventos de edición de publicaciones. La corrección pública del proveedor elimina esa información.
- Mi contribución
- Comunicado · corrección del proveedor
- Documentado el
Artículo sobre mi informe de error en GitHubPublicado
Este artículo trata mi informe público sobre inconsistencias en la comunicación privada de vulnerabilidades de GitHub. Es una mención a mi contribución, no un CVE ni un premio de seguridad.
- Mi contribución
- Artículo sobre mi contribución
- Documentado el
Respetar los permisos de grupo en la APICorregido
Comuniqué un hallazgo sobre la visibilidad de los grupos en la API. La corrección del proveedor aplica el permiso para ver grupos.
- Mi contribución
- Comunicado · corrección del proveedor
- Documentado el
Comprobar permisos de lectura de revisionesCorregido
Mi informe trata sobre el acceso de lectura a versiones anteriores de las publicaciones. La corrección pública del proveedor comprueba los permisos del tema antes de cargarlas.
- Mi contribución
- Comunicado · corrección del proveedor
- Documentado el
Gestionar correctamente los errores de configuraciónCorregido
Una configuración incompleta podía provocar un fallo del cliente. Mi informe llevó a validar los argumentos ausentes; la corrección se ha integrado.
- Mi contribución
- Mi informe de error
- Documentado el
Un canal accesible para informes de seguridadInforme abierto
Documenté públicamente que el contacto de seguridad publicado no podía recibir un informe. La incidencia solicita un canal confidencial operativo sin revelar detalles de vulnerabilidades no publicadas. Sigue abierta.
- Mi contribución
- Canal de comunicación comprobado y problema informado
- Documentado el
Detectar avisos de estado engañososCorregido
Las notas oficiales de v2026.5.2-beta.3 reconocen mi informe sobre una comprobación de conexión antigua. El proyecto añadió un aviso para ese diagnóstico, que podía indicar erróneamente una pasarela inactiva. Una contribución documentada a la fiabilidad operativa.
- Mi contribución
- Fallo comunicado · reconocido en la versión
- Documentado el
- Atribución pública
- mySebbe
Renovar sesiones OAuth de forma fiableCorregido
Comuniqué un fallo en la renovación automática de sesiones OAuth de Gemini. La corrección del proyecto, integrada el 16 de mayo de 2026, cierra expresamente mi informe #42541. Es una contribución a la fiabilidad del inicio de sesión, sin atribuirle una CVE.
- Mi contribución
- Fallo comunicado · corrección del proyecto
- Documentado el
Reconocer correctamente los modelos de IA disponiblesCorregido
Mi informe público documentó un catálogo de modelos Gemini desactualizado. La corrección del proyecto, integrada el 5 de abril de 2026, cierra expresamente mi informe #35274. Corrige la integración de IA; no es una vulnerabilidad de seguridad.
- Mi contribución
- Fallo comunicado · corrección del proyecto
- Documentado el
Revisar señales de permisos en herramientas de IAPublicado
Mi herramienta comprueba descripciones y esquemas MCP en busca de señales de permisos arriesgadas. Ayuda a revisar, pero no sustituye a las comprobaciones de autorización en tiempo de ejecución.
- Mi contribución
- Desarrollo y mantenimiento
Validar informes de capacidades MCPPublicado
Mi herramienta pública en Python valida informes JSON sobre herramientas, recursos y prompts MCP. Ofrece resultados legibles o procesables por máquinas y puede tratar las advertencias como errores en comprobaciones estrictas de CI. Valida la estructura de los informes, no la seguridad de un servidor remoto.
- Mi contribución
- Herramienta propia de código abierto
Perfil público de investigador y clasificación mensualReconocido
Patchstack publica mi perfil de investigador y mis atribuciones. En su clasificación mensual de junio de 2026 figuro en el puesto 21 con 26 AXP y dos informes. Es una clasificación de un periodo concreto; cada CVE vinculada se cuenta una sola vez en este registro.
- Mi contribución
- Investigador con perfil público
- Atribución pública
- mySebbe
Comparte registros. Protege los secretos.Publicado
Mi herramienta oculta secretos habituales y datos personales en registros de texto y JSONL, con reglas personalizadas y un modo de comprobación para CI.
- Mi contribución
- Desarrollo y mantenimiento
Cuadro de honor del programa de recompensasReconocido
La QRL Foundation me incluye como mySebbe en su cuadro de honor oficial. La página enlazada documenta este reconocimiento público.
- Mi contribución
- Reconocimiento público
Reconocimiento oficial en el programa de recompensasReconocido
Synology incluye mi nombre y mi alias en su lista oficial de reconocimientos de 2026. Las dos menciones cuentan aquí como un único reconocimiento. Esto no publica los detalles de informes confidenciales.
- Mi contribución
- Investigador de seguridad reconocido públicamente
- Atribución pública
- Sebastian "mySebbe" Albrecht · Sebastian Albrecht
69 / 69
Acerca de este registro
El total cuenta una sola vez cada caso actualmente aceptado o recompensado de mi documentación. Incluye informes públicos y no públicos. El registro cuenta contribuciones públicas individuales, como código, artículos e informes abiertos. Restar una cifra de la otra no daría un resultado válido.
Las cifras del registro se calculan a partir de sus entradas. Cada identificador CVE cuenta una sola vez; varias fuentes no aumentan el total. Se distingue el estado de publicación, los informes abiertos, las correcciones del proveedor y mi propio código. El total de informes aceptados procede de mi documentación en la fecha de revisión indicada y no es una cifra de CVE públicos.
Publicado como Sebastian Albrecht, Sebastian mySebbe Albrecht, mySebbe y sebbe_alb.
Web · Cloud · IA
¿Qué necesita más seguridad?
Hablemos de tu sistema, tu código o tu próxima idea.