{"id":184893,"date":"2026-03-09T21:58:18","date_gmt":"2026-03-09T20:58:18","guid":{"rendered":"https:\/\/liora.io\/es\/pesadilla-pingora-http-smuggling-poisoning"},"modified":"2026-03-09T21:58:18","modified_gmt":"2026-03-09T20:58:18","slug":"pesadilla-pingora-http-smuggling-poisoning","status":"publish","type":"post","link":"https:\/\/liora.io\/es\/pesadilla-pingora-http-smuggling-poisoning","title":{"rendered":"\u00a1Revelando la pesadilla oculta de Pingora: HTTP Smuggling y Poisoning!"},"content":{"rendered":"
\nEl investigador de seguridad Rajat Raghav descubri\u00f3 tres vulnerabilidades cr\u00edticas en el framework de c\u00f3digo abierto Pingora que podr\u00edan permitir a los atacantes secuestrar sesiones de usuario y envenenar cach\u00e9s web. Las fallas, divulgadas en marzo de 2026, afectan a todas las implementaciones de Pingora alojadas por el usuario anteriores a la versi\u00f3n 0.8.0 cuando se usan como proxies expuestos a Internet. Pingora ha lanzado la versi\u00f3n 0.8.0 para corregir las vulnerabilidades, mientras que Cloudflare confirm\u00f3 que sus servicios de CDN no se vieron afectados.\n
<\/strong>\n

Las vulnerabilidades, designadas como CVE-2026-2833<\/b>, CVE-2026-2835<\/b> y CVE-2026-2836<\/b>, exponen a las organizaciones que utilizan implementaciones de Pingora alojadas en infraestructura propia a graves riesgos de seguridad, incluyendo evadir controles de seguridad, robo de credenciales y envenenamiento de cach\u00e9s web, seg\u00fan una publicaci\u00f3n del blog de Cloudflare<\/b>.<\/p>

La falla m\u00e1s cr\u00edtica se basa en c\u00f3mo Pingora gestiona las solicitudes de actualizaci\u00f3n HTTP. Al recibir solicitudes con un encabezado Upgrade, el framework cambiaba prematuramente al modo passthrough antes de que el servidor backend aceptara el cambio de protocolo. Esto permit\u00eda a los atacantes inyectar solicitudes maliciosas que evad\u00edan por completo los controles de seguridad de Pingora.<\/p>

Una segunda vulnerabilidad deriv\u00f3 de un procesamiento incorrecto de solicitudes HTTP\/1.0<\/b> que inclu\u00edan encabezados Transfer-Encoding, los cuales est\u00e1n prohibidos en los est\u00e1ndares RFC. En lugar de rechazar dichas peticiones, Pingora interpretaba mal la longitud de la solicitud, generando una discrepancia con servidores backend compatibles que pod\u00eda ser aprovechada para ataques de smuggling de solicitudes.<\/p>

El tercer problema afect\u00f3 la funci\u00f3n de cach\u00e9 en fase alfa de Pingora, donde las claves de cach\u00e9 se generaban usando \u00fanicamente la ruta URI sin considerar el encabezado Host ni el esquema HTTP. Esto implicaba que un atacante pod\u00eda envenenar la cach\u00e9 para un dominio y hacer que ese contenido malicioso se entregara a usuarios que visitaban un sitio completamente diferente.<\/p>\n\n

Infraestructura de Cloudflare Protegida<\/h2>
\"Vista<\/figure>\n\n

Cloudflare<\/b> confirm\u00f3 que sus servicios de CDN en producci\u00f3n jam\u00e1s fueron vulnerables gracias a su arquitectura de defensa en profundidad. La empresa explic\u00f3 que Pingora no se utiliza como el proxy principal expuesto a Internet en su CDN, y los proxies previos normalizan el tr\u00e1fico antes de que llegue a las instancias internas de Pingora. Adem\u00e1s, Cloudflare siempre ha empleado claves de cach\u00e9 robustas y multifactoriales en lugar de la insegura implementaci\u00f3n predeterminada.<\/p>

Las vulnerabilidades han sido totalmente resueltas en Pingora versi\u00f3n 0.8.0<\/b>. La actualizaci\u00f3n corrige la l\u00f3gica de Upgrade para cambiar de modo solo tras recibir la debida confirmaci\u00f3n de los servidores de origen, refuerza el analizador HTTP para rechazar solicitudes no v\u00e1lidas y elimina por completo la implementaci\u00f3n predeterminada de claves de cach\u00e9 inseguras.<\/p>

Las organizaciones que ejecutan implementaciones de Pingora alojadas en infraestructura propia deben actualizar de inmediato a la versi\u00f3n 0.8.0 o posterior<\/b>. Al implementar un proxy cach\u00e9, los administradores deben garantizar que las claves de cach\u00e9 identifiquen de manera exhaustiva los recursos bas\u00e1ndose en todos los par\u00e1metros relevantes, incluyendo el esquema, host, ruta y cabeceras variables.<\/p>\n\n

\n

\n Sources\n <\/h3>\n
    \n
  • https:\/\/blog.cloudflare.com<\/li>\n <\/ul>\n<\/div>","protected":false},"excerpt":{"rendered":"

    El investigador de seguridad Rajat Raghav descubri\u00f3 tres vulnerabilidades cr\u00edticas en el framework open-source Pingora que permitir\u00edan a los atacantes secuestrar sesiones de usuario y contaminar las cach\u00e9s web. Los fallos, divulgados en marzo de 2026, afectan a todas las implementaciones autoalojadas de Pingora anteriores a la versi\u00f3n 0.8.0 cuando se utilizan como proxies expuestos a Internet. Pingora lanz\u00f3 la versi\u00f3n 0.8.0 para corregir dichas vulnerabilidades, mientras que Cloudflare confirm\u00f3 que sus servicios CDN no se vieron afectados.<\/p>\n","protected":false},"author":87,"featured_media":184892,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"editor_notices":[],"footnotes":""},"categories":[2428],"class_list":["post-184893","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias"],"acf":[],"_links":{"self":[{"href":"https:\/\/liora.io\/es\/wp-json\/wp\/v2\/posts\/184893","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/liora.io\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/liora.io\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/liora.io\/es\/wp-json\/wp\/v2\/users\/87"}],"replies":[{"embeddable":true,"href":"https:\/\/liora.io\/es\/wp-json\/wp\/v2\/comments?post=184893"}],"version-history":[{"count":0,"href":"https:\/\/liora.io\/es\/wp-json\/wp\/v2\/posts\/184893\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/liora.io\/es\/wp-json\/wp\/v2\/media\/184892"}],"wp:attachment":[{"href":"https:\/\/liora.io\/es\/wp-json\/wp\/v2\/media?parent=184893"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/liora.io\/es\/wp-json\/wp\/v2\/categories?post=184893"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}