Ingeniería y evidencia
Reportes de seguridad en código abierto
Dependencias vulnerables encontradas en proyectos públicos de código abierto y reportadas a sus mantenedores. Antes de cada reporte, el rango afectado de cada aviso se verifica contra la versión exacta fijada, en la base de datos OSV. Un reporte aparece aquí cuando los mantenedores lo corrigen.
reactive-commons-go#5 ↗
amqp091-go v1.10.0, una dependencia directa, estaba afectada por 10 avisos publicados
Corregido
reactive-commons-go es una librería Go de código abierto de Bancolombia con abstracciones comunes para patrones de mensajería entre microservicios. Su go.mod fijaba github.com/rabbitmq/amqp091-go en v1.10.0, que cae en el rango afectado de 10 avisos publicados en septiembre de 2026: 3 críticos (falta una versión mínima de TLS en el parser de URI, inyección de tramas por un desbordamiento de enteros y truncamiento silencioso de cadenas cortas) y 7 altos. Los 10 se corrigen en v1.13.0.
Reportado el 4 de octubre de 2026, con la lista de avisos y el arreglo. Los mantenedores actualizaron a v1.15.0, que no tiene avisos en OSV a octubre de 2026, en el pull request #6, y cerraron el reporte como completado el 7 de octubre de 2026.
async-dataflow#148 ↗
cowboy, cowlib, plug_cowboy y plug, dependencias directas, estaban afectadas por avisos publicados de gravedad alta
Corregido
async-dataflow es un proyecto Elixir de código abierto de Bancolombia que entrega respuestas asíncronas a aplicaciones cliente en tiempo real. Su servicio channel-sender fijaba versiones de cowboy, cowlib, plug_cowboy y plug que caen en el rango afectado de avisos de gravedad alta: CVE-2026-8466 y EEF-CVE-2026-65624 (cowboy), CVE-2026-7790 (cowlib), CVE-2026-32688 (plug_cowboy), y CVE-2026-54892 y CVE-2026-8468 (plug). Las dependencias de prueba gun y hackney también tenían avisos.
Reportado el 4 de octubre de 2026. Los mantenedores verificaron cada hallazgo contra su lockfile y OSV, corrigieron varios puntos del reporte (entre ellos la versión que corrige gun y que gun y hackney son solo de prueba) y agregaron plug_cowboy, que el reporte había omitido. Actualizaron las dependencias y quitaron hackney, que no se usaba, en el pull request #149, fusionado el 16 de octubre de 2026, que cerró el reporte.