Aviso de seguridad de Microsoft CVE-2026-96234 - Vulnerabilidad de divulgación de información en .NET y Visual Studio
El aviso original ha cambiado desde que se preparó esta explicación. Consulta los datos técnicos actuales y el aviso original a continuación.
Resumen ejecutivo
Microsoft publica este aviso de seguridad para proporcionar información sobre una vulnerabilidad en Microsoft.WindowsDesktop.App.Runtime (WPF). Este aviso también brinda orientación sobre las medidas que los desarrolladores pueden tomar para actualizar sus aplicaciones y eliminar la vulnerabilidad.
Las correcciones de seguridad restrictivas para XAML y XPS bloquean la recuperación y navegación no seguras de URI, propagan el estado de entrada no confiable a través de la navegación por hipervínculos, agregan protección para fuentes TrueType y límites de profundidad de anidamiento de XAML, y evitan el almacenamiento en caché de decisiones positivas sobre directivas de zona DNS.
Anuncio
El anuncio de este problema se encuentra en https://github.com/dotnet/announcements/issues/482
Detalles de CVSS
- Versión: 3.1
- Gravedad: Moderada (Moderate)
- Puntuación: 5.3
- Vector:
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N - Debilidad: CWE-346 (Error de validación de origen / Origin Validation Error)
Plataformas afectadas
- Plataformas: Windows
- Arquitecturas: Todas
Paquetes afectados
La vulnerabilidad afecta a proyectos de Microsoft .NET que utilicen alguna de las versiones de paquete indicadas a continuación:
| Nombre del paquete | Versión afectada | Versión corregida |
|---|---|---|
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 9.0.0, <= 9.0.20 | 9.0.21 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 9.0.0, <= 9.0.20 | 9.0.21 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 9.0.0, <= 9.0.20 | 9.0.21 |
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 8.0.0, <= 8.0.31 | 8.0.32 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 8.0.0, <= 8.0.31 | 8.0.32 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 8.0.0, <= 8.0.31 | 8.0.32 |
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
Preguntas frecuentes del aviso (FAQ)
¿Cómo sé si estoy afectado?
Si utiliza alguno de los paquetes listados en la sección de paquetes afectados, su aplicación está expuesta a esta vulnerabilidad.
¿Cómo soluciono el problema?
- Para corregir el problema, instale la versión más reciente de .NET. Si instaló uno o varios SDK de .NET a través de Visual Studio, este le solicitará que actualice Visual Studio, lo que también actualizará sus SDK de .NET.
- Si su aplicación hace referencia al paquete vulnerable, actualice la referencia al paquete a la versión corregida. Puede listar las versiones instaladas ejecutando el comando
dotnet --info.
Una vez instalado el runtime o el SDK actualizado, reinicie las aplicaciones para que el cambio surta efecto.
Además, si ha implementado aplicaciones autocontenidas (self-contained) para cualquiera de las versiones afectadas, estas siguen siendo vulnerables y deben recompilarse e implementarse de nuevo.
Otra información
Notificación de problemas de seguridad
Si encuentra un posible problema de seguridad en una versión compatible de .NET, infórmelo al Centro de respuestas de seguridad de Microsoft (MSRC) a través del Portal para investigadores de MSRC. Puede encontrar información adicional en las Preguntas frecuentes sobre cómo informar de un problema de MSRC.
Los informes de seguridad realizados a través de MSRC pueden calificar para el programa Microsoft .NET Bounty. Los detalles y términos del programa se encuentran en https://aka.ms/corebounty.
Soporte
Puede plantear preguntas sobre este problema en la organización de GitHub de .NET. Los repositorios principales se ubican en https://github.com/dotnet/runtime. El repositorio de avisos (https://github.com/dotnet/Announcements) incluirá este boletín como un issue con un enlace al debate correspondiente.
Descargo de responsabilidad
La información provista en este aviso se suministra "tal cual", sin garantía de ningún tipo. Microsoft renuncia a todas las garantías, expresas o implícitas, incluidas las garantías de comerciabilidad e idoneidad para un propósito particular. En ningún caso Microsoft Corporation o sus proveedores serán responsables de ningún daño, incluidos daños directos, indirectos, incidentales, consecuentes, pérdida de ganancias comerciales o daños especiales, incluso si Microsoft Corporation o sus proveedores han sido advertidos de la posibilidad de tales daños. Algunos estados no permiten la exclusión o limitación de responsabilidad por daños consecuentes o incidentales, por lo que la limitación anterior puede no aplicarse.
Enlaces externos
Agradecimientos
- nono
- piropatriot
- Ali Az
- Anonymous
- kayiz con Lien Phat Technology Corporation
- Muhammad Abdul Rehman
- Ky0toFu (@ky0tofu)
Revisiones
V1.0 (10/13/2026): Aviso publicado.
Qué hacer
- Instale la versión más reciente de .NET. Si utiliza Visual Studio, actualícelo para actualizar también los SDK de .NET asociados.
- Actualice las dependencias que apunten a paquetes vulnerables hacia sus versiones corregidas. Verifique las versiones instaladas con
dotnet --info.
Reinicie sus aplicaciones tras instalar el runtime o SDK actualizado para aplicar la solución.
Las aplicaciones autocontenidas destinadas a versiones afectadas deben recompilarse e implementarse de nuevo.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 9.0.0, < 9.0.21, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32, >= 11.0.0-preview.1, < 11.0.0-rc.2 | 9.0.21, 10.0.13, 8.0.32, 11.0.0-rc.2 |
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 9.0.0, < 9.0.21, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32, >= 11.0.0-preview.1, < 11.0.0-rc.2 | 9.0.21, 10.0.13, 8.0.32, 11.0.0-rc.2 |
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 9.0.0, < 9.0.21, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32, >= 11.0.0-preview.1, < 11.0.0-rc.2 | 9.0.21, 10.0.13, 8.0.32, 11.0.0-rc.2 |
Referencias
- https://github.com/dotnet/wpf/security/advisories/GHSA-fq6x-pvr9-888r
- https://github.com/dotnet/announcements/issues/482
- https://github.com/dotnet/wpf/issues/12025
- https://github.com/dotnet/wpf
- https://nvd.nist.gov/vuln/detail/CVE-2026-96234
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96234
- Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N- Debilidad (CWE)
CWE-346- Plataforma
- .NET (NuGet)
- Paquete
Microsoft.WindowsDesktop.App.Runtime.win-arm64, Microsoft.WindowsDesktop.App.Runtime.win-x64, Microsoft.WindowsDesktop.App.Runtime.win-x86- Publicada
- 13.10.2026
- Actualizado
- 19.10.2026 22:17
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-fq6x-pvr9-888r - CC BY 4.0
Historial de vulnerabilidades: Microsoft.WindowsDesktop.App.Runtime.win-arm64
Todas las vulnerabilidades publicadas de este paquete (.NET (NuGet)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 19
- Primera → última
- 12.2022 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 16
- Media 3
Divulgaciones por año
- 2022: 1
- 2023: 2
- 2024: 1
- 2025: 0
- 2026: 15
-
Aviso de seguridad de Microsoft CVE-2026-96234 - Vulnerabilidad de divulgación de información en .NET y Visual Studio esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.