No quería actualizar mi app porque aún no logro las builds reproducibles, pero bueno, salió actualización de Mihon, así que luego de resolver unos cuantos conflictos (13, nuevo record) causados por los nuevos cambios internos entre ambas apps, se logró.

Le quité un par de funciones, una por ser potencialmente peligrosa (lo de quitar la verificación de extensiones) y otra de cambiar tamaños de fuentes porque eso ni yo lo uso, y siempre me da dolores de cabeza.

En fin, Kumo v0.19.5 ya está lista para ser descargada, de los primeros forks en actualizar:

https://github.com/nubesurrealista/Kumo/releases/tag/v0.19.5

Pregunta random: ¿para ustedes Telegram es una simple app de mensajería que usan para enviar mensajes y ya? ¿O una red social a lo Facebook? En plan, conocer grupos, canales, etc etc.

Siempre me parece curioso que hay como una dualidad, dependiendo de a quien le preguntes Telegram es una cosa u otra 🤔

Para mi Telegram es más como un Wechat (en el sentido de ser como una mega-app) que una app de mensajería, Signal es mensajería, WhatsApp lo es, pero ¿Telegram es solo mensajería o algo más?

Hoy está temblando casi todo el ecosistema de agentes de IA

El paquete LiteLLM ha sido comprometido, un paquete usado por montones de herramientas y devs, la vulnerabilidad está confirmada y es de alto nivel.

Me da risa que cuando a mi se me ocurre comenzar a probar un agente cuando era medio hater de eso, es que pasa explota todo esto xD

¿Recomendaciones? cambiar contraseñas, revocar claves privadas, inspeccionar el sistema para ver si hay cosas maliciosas persistentes y probablemente formatear/instalar un nuevo OS

Si ven que este canal empieza a hacer spam de IA ya saben que ha pasado, jaja, bromita. Debo reírme, al final, aunque esto fue inevitable porque fue un ataque a la cadena de suministro, algo que el usuario no controla, los riesgos estaban, no estos precisamente pero bueno, solo me queda reirme y aprender de esto.

Lo bueno es que esto es inspiración y contenido 😁

Ya tengo algo nuevo de que hablar en mi blog por lo menos

Como algo interesante, Mandiant se ha involucrado, ¿que es Mandiant? es la firma de respuesta a incidentes y ciberinteligencia de Google, de los equipos más avanzados del mundo en toda la escena, so, esto no parece que sea una vulnerabilidad menor si ha tenido que involucrarse el equipo más pro 🤔

Bueno, creo que no estoy infectado, eso es bueno xd

Igual he cambiado montones de cosas, contraseñas y demás, y he tenido que revocar claves de API y así, por si acasó, cambié mis claves gpg, cambié mis claves SSH, cambié todo lo que pudiera cambiar pues

Pero todas las pruebas parecen demostrar que de mi lado, estoy a salvo, parece digo. Además de que, la dependencia afectada, Litellm, yo no tenía la versión afectada, ni había actualizado nada

Obviamente lo primero que hice fue remover el paquete afectado y cualquier directorio asociado.

El post del blog iba a ser algo en plan "Creo que los agentes pueden ser un poco útiles" pero después de esto toda la idea ha cambiado por completo 😅

En fin, por ahora, eso, no hay residuos sospechosos, no he encontrado scripts o archivos maliciosos en las rutas confirmadas donde el malware deja la backdoor, Y el hecho de las versiones y que no se haya registrado ni una sola consulta al dominio del malware, parecen confirmarme que por lo menos en mi caso fue un susto

Igual seguiré revisando

Que día de locos el de ayer... Increíble que una sola dependencia haya hecho que montones de proyectos y empresas estuvieran en jaque xd

Parte de esto tiene un culpable: vibe coding.

Los atacantes fueron ingeniosos pero, también es que los mantenedores fueron negligentes y el proyecto estaba en mal estado desde el punto de vista de desarrollo.

Parte del caos del proyecto pudo verse en
la respuesta ante la infiltración, que fue pobre, confusa, y ni ellos mismos se habían dado cuenta que estaban comprometidos...

¿Y que tiene que ver el vibe coding? según programadores que han visto esto, han señalado que todo el ataque se pudo evitar, fue posible porque no revisaban el código y las dependencias, dependían mucho de agentes de IA, los mantenedores eran casi de papel. Eran un blanco fácil literalmente 🤔

La cosa es, que medio ecosistema usaba un paquete así a pesar de lo caótico del proyecto, eso dice mucho también. Muchas veces se añaden dependencias sin siquiera revisar de donde vienen, mientras funcione, se usa.

Luego pasan ataques como el de ayer mostrando el peligro de esos descuidos

En fin, luego del miedo existencial a haber sido hackeado, este canal vuelve a su actividad regular, mucho spam de IA ya.

Por lo menos, ya confirmé al 100% que todo está bien para mi, afortunadamente.

Nos vemos cuando tenga algo más interesante que contar que no sea algo así 😁

Lo de correr Doom en cualquier cosa toca limites absurdos ...

¿Puede correr Doom en registros DNS? espera ... ¿se pueden ejecutar cosas ahí? xD

Una prueba de concepto demasiado bizarra la verdad, pero fue interesante de leer.

"No confíes, verifica"

Es lo que ha escrito Daniel Stenberg, creador y mantenedor de Curl, una herramienta que está en prácticamente todas partes (incluso aunque no lo sepas).

Dice que los ataques son inevitables, y más cuando los proyectos son grandes, siempre hay un riesgo de que alguna parte de la cadena sea comprometida, sin embargo dice que el mejor antídoto es la transparencia: fomentar una cultura donde el usuario sea capaz de revisar al pie de la letra cada parte del código, cada commit, cada lanzamiento, no importa si son pocas personas, lo que importa es que haya personas independientes del equipo que puedan verificar y alertar al resto en momentos donde incluso quienes mantienen un software están fuera de juego.

También da ejemplos de todo lo que puede salir mal, como un solo elemento en la cadena que sea comprometido puede romper todo y hacer que una vulnerabilidad se expanda a miles de usuarios...

La clave no sería tratar de hacer software inmune a ataques, es imposible, pero si tener un proceso transparente y detallado donde aunque sea un par de usuarios puedan notar que algo está mal y correr la voz.

No es un llamado a la paranoia, es simplemente sentido común.

"El desastre de LiteLLM y los agentes de IA"

Mi experiencia y opinión con estos agentes, el chisme de la vulnerabilidad de LiteLLM y reflexiones tontas de un ramdom 😁

Y como siempre, la portada ahí dando pena, lo estoy abrazando como el estilo del blog, okno. De nuevo hecha en excalidraw y editada posteriormente en GIMP, poco a poco.

Bueno, ahí lo dejo

¿Se ha descubierto una vulnerabilidad en Telegram? 🤔 pues, no lo sé

No hay mucha información pero Zero Day Initiative (ZDI) que es el programa de recompensas por vulnerabilidades más grande del mundo está listando en "Upcoming" una vulnerabilidad reportada sobre Telegram.

Por lo que leí, cuando sale en Upcoming es porque la vulnerabilidad ya fue confirmada por ZDI y reportada oficialmente a la empresa afectada, en este caso a Telegram. Esto significa que la información es confidencial, solo se públican detalles genericos y una calificación, en este caso la calificación es de 9.8, es una calificación muy alta, sería una vulnerabilidad muy grave

Este tipo de practicas es normal sin embargo, obviamente no vas a mostrar toda la información sobre algo así de inmediato, normalmente se espera que la empresa tome sus medidas con el reporte, un parche o algo, y luego es que se revela la información. Sin embargo hay un tiempo limite, para el 24 de Julio

Por ahora nos quedaremos con la curiosidad

El tiempo limite es para darle tiempo a la empresa para tomar medidas y corregir fallos que permiten esa vulnerabilidad, en este caso en teoría Telegram ya debe tener un reporte sobre lo que fue descubierto y tiene hasta Julio para corregir todo. Al corregir la vulnerabilidad y llegar a la fecha limite, se muestra todo y se asigna un código CVE para identificarla.

So, no veremos un reporte detallado de esto hasta Julio (en caso de que Telegram lo resuelva, que es el sentido común en estos casos).

Pero considerando la gravedad de la calificación, lo más probable es que sea lo que sea que haya sido reportado, sea corregido pronto ☝️ más allá de la gravedad de la calificación las vulnerabilidades en software son normales, aunque si da mucha curiosidad de que rayos se descubrió como para casi darle un 10

Ya lo están comenzando a comentar los canales grandes, so, sí, incluso sin mucha información esto es noticia que corre como polvora 😅

Lo que se sabe por la gravedad de la calificación tan alta y quien tiene la información es que es una vulnerabilidad critica de alto nivel, un zero-day (es decir: que tienes 0 días para comenzar a corregirla, una vez que la empresa sabe de esto debe corregirlo lo más rápido posible porque el riesgo es demasiado alto como para tardar)

Con un 9.8 esto no es una vulnerabilidad cualquiera, es una gorda.

¿Nos contará Telegram de esto cuando lo corrija o habrá que esperar a Julio para leer el reporte completo? jaja, normalmente las empresas evitan dar muchos detalles así que yo no apostaría a que sea Telegram quien nos cuente lo que pasó 🤔

Edit: en realidad no habría que esperar a Julio, Julio es el tope, el limite, en realidad un reporte debería ser presentado cuando pasen dos cosas: Telegram haya corregido la vulnerabilidad y en ZDI haya sido confirmado esto, una vez que eso pasa, se acelera la publicación de un reporte detallado.

Curioso, Telegram ha respondido a lo de la vulnerabilidad:

Esta vulnerabilidad no existe, el investigador afirma falsamente que un sticker corrupto de Telegram puede usarse como vector de ataque, ignorando por completo el hecho de que todos los stickers subidos a Telegram se verifican en los servidores antes de que puedan reproducirse en las aplicaciones de Telegram.

Realmente nadie puede saber si Telegram dice la verdad o no porque ajá, el reporte no es público xD así que chiste.

Pero bueno, desde el lado de Telegram: no existe ninguna vulnerabilidad 🤔

Como nota, Telegram casi siempre toma una postura hostil en estos casos, incluso cuando es algo comprobado, aunque bueno, en este caso nadie puede confirmar quien tiene razón porque el reporte no es accesible

ZDI Registered a Critical Vulnerability in Telegram — Don't Panic

On March 26, an entry ZDI-CAN-30207 concerning Telegram appeared in the database of the Zero Day Initiative — the largest independent vulnerability hunting program. The vulnerability was discovered by researcher Michael DePlante from Trend Micro.

Details are classified: according to ZDI regulations, the specifics will be disclosed either as soon as the messenger fixes the issue, or on July 24, 2026, if it does not.

There is no information about the vulnerability being exploited "in the wild" by actual hackers. Right now, no one except the researcher and Telegram developers knows what the vulnerability entails.

The popular theory about animated stickers is speculation and rumor, not facts known from this entry. All other "details" being spread by media and channels are either conjecture or descriptions of already fixed old vulnerabilities. There is no need to panic.

What to do:

• Update Telegram immediately when new versions are released.
• Use the official Telegram app to receive the update with the fix on the very first day.
• No other specific protective measures can be taken — the nature of the vulnerability is unknown.

Telegram's Reaction

The messenger's press service stated to Durov's Code that the vulnerability does not exist. Their argument: all stickers are checked by servers, therefore "the existence of such an exploit is impossible".

The @tginfo editors find this reaction strange. For some reason, Telegram commented specifically on the speculations about stickers, even though the attack vector has not been disclosed and might have nothing to do with them. It is unclear why the messenger chose to refute rumors instead of simply confirming their work on the ZDI report.

The assertion itself that the exploit does not exist due to server-side verification is technically flawed: server validation is merely one of the protection layers, which itself can contain errors and may not cover all possible scenarios. Moreover, stickers that cause the Android app to crash still exist today, which already calls into question the comprehensiveness of the claimed check.

The messenger's response to Durov's Code is a declaration, not an argument. It will only be possible to confirm or deny the existence of the problem after the details are published or a patch is released.

What Open Data Says

From the ZDI entry, the preliminary severity score — 9.8 out of 10 — and the attack vector parameters are known. If the assessment is correct, the vulnerability can be exploited remotely over the network, requires no user interaction and no system privileges, and potentially allows an attacker to gain full access to the user's data.

These are serious parameters, however, the preliminary score is set by the researcher and may be adjusted.

Context

It is not the first time Telegram has faced critical vulnerabilities. In 2020, Shielder researchers discovered 13 vulnerabilities in the rlottie library for animated stickers, including out-of-bounds write errors that allowed for remote memory corruption on the device. Telegram fixed the specific bugs but did not change the processing architecture. Potentially, animated stickers remain a broad attack surface, so it cannot be ruled out that the new vulnerability exploits them specifically.

In 2024, a flaw was discovered in Telegram Desktop that allowed programs to be disguised as videos, making it easier to convince a victim to click and launch them. In 2025, a similar EvilLoader vulnerability was found on Android. At the same time, the Russian vulnerability broker Operation Zero offered up to $4 million for zero-click exploits in Telegram, while a representative of the messenger told Forbes that "Telegram has never been vulnerable to zero-click exploits."

Practice shows that Telegram prefers to patch specific holes without addressing systemic security problems, and such rhetoric about the "absolute impossibility" of exploits does not inspire confidence against the backdrop of this history.

So, desde casi la primera release de CuteMusic he estado por ahí, recomendando y promoviendo esta app como si fuera algo mio, porque creí en Sosauce y su proyecto.

Pero CuteMusic ha muerto, sep...

Ha muerto para renacer como: Chocola

Es el mismo proyecto, mismo mantenedor, mismos traductores (holi) pero bueno, el nombre ha sido cambiado.

¿Por qué? bueno, las cosas cambian, Sosauce ya no es un niño genio, ya es casi un adulto (el tiempo vuela) so, sintió que quería un cambio, y se respeta.

Yo lo apoyo, sé que no podremos detener el hate o las criticas y más sabiendo la influencia del anime en esto (Nekopara) pero, meh, es su app, es su vida 😁

¿Fue la mejor forma de decidir un cambio de nombre? idk, quizás habría sido mejor una transición ordenada hacía el nuevo nombre pero, ya fue.

Telegram ahora mostrará un aviso de "seguridad" en los perfiles de los usuarios avisando de si usan un cliente no oficial...

Ya da flojera explicar esto, es potenciar un estigma estúpido y no es algo que haces cuando tienes una API abierta y un ecosistema open source, ¿para que lo tienes entonces?

Meh, yo no me escondo, 4 años usando forks porque los clientes oficiales me aburren y sus mayores novedades la mayoría del tiempo tienen que ver con cosas que nadie usa 😁

Una vez dije que Telegram solo usó al código abierto y el ecosistema de forks resultante para tener validación, han pasado los años, Telegram sigue sin tener nada de respeto por el movimiento que hizo de esta app lo que es hoy 😶

Una mejor forma de enfocar esto habría sido: mostrar que cliente usa el usuario, o mostrar el aviso si el cliente rompe el TOS.

Un aviso de este tipo potencia el estigma de que todos los forks son cosas como Ayugram xD

Y no, eso es un mito y es meter a todos en el mismo saco.

Pero weno, Telegram y sus alucinaciones 😇

Mejor no digo más :v