Aviso de seguridad de Microsoft CVE-2026-96960 - Vulnerabilidad de denegación de servicio en .NET y Visual Studio
El aviso original ha cambiado desde que se preparó esta explicación. Consulta los datos técnicos actuales y el aviso original a continuación.
Microsoft ha publicado este aviso de seguridad para informar sobre una vulnerabilidad de denegación de servicio en System.Security.Cryptography.Xml y System.Private.Xml.
Las correcciones de Signed XML agregan límites de profundidad de entrada y recuento de operaciones, prohíben el procesamiento de DTD de forma predeterminada, validan referencias a entidades, limitan el procesamiento de candidatos de datos cifrados y restringen los atributos y espacios de nombres usados por transformaciones C14N.
Anuncio y detalles de CVSS
- Anuncio: https://github.com/dotnet/announcements/issues/490
- Versión de CVSS: 3.1
- Gravedad: High
- Puntuación: 7.5
- Vector:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H - Debilidad: CWE-405 (Asymmetric Resource Consumption (Amplification))
Plataformas afectadas
- Plataformas: Windows, Linux, macOS
- Arquitecturas: Todas
Paquetes afectados
La vulnerabilidad afecta a proyectos de Microsoft .NET que utilicen alguna de las versiones afectadas listadas a continuación:
| Nombre del paquete | Versión afectada | Versión corregida |
|---|---|---|
| System.Security.Cryptography.Xml | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| System.Security.Cryptography.Xml | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
| System.Security.Cryptography.Xml | >= 8.0.0, <= 8.0.4 | 8.0.5 |
| System.Security.Cryptography.Xml | >= 9.0.0, <= 9.0.20 | 9.0.21 |
Información adicional
- Notificación de problemas de seguridad: Si encuentra un problema en una versión compatible de .NET, repórtelo al MSRC a través del MSRC Researcher Portal.. Más detalles en las Report an Issue FAQ. del MSRC. Las bases del Microsoft .NET Bounty Program están disponibles en https://aka.ms/corebounty..
- Soporte: Puede realizar preguntas sobre este problema en la organización de GitHub de .NET en https://github.com/dotnet/runtime.. El repositorio Announcements (https://github.com/dotnet/Announcements) contendrá este boletín como issue con enlace a la discusión.
- Enlaces externos: CVE-2026-96960
- Agradecimientos: Coşkun Bağrıaçık; Dr.-Ing Ashar Javed (@soaj1664ashar)
- Revisiones: V1.0 (10/13/2026): Aviso publicado.
- Descargo de responsabilidad: La información en este aviso se proporciona "tal cual", sin garantía de ningún tipo.
Qué hacer
Para corregir el problema:
- Instale la versión más reciente de .NET. Si ha instalado uno o más SDK de .NET mediante Visual Studio, este le solicitará actualizar Visual Studio, lo que también actualizará los SDK de .NET.
- Si su aplicación hace referencia al paquete vulnerable, actualice la referencia al paquete a la versión corregida. Puede listar las versiones instaladas ejecutando el comando
dotnet --info.
Una vez instalado el runtime o SDK actualizado, reinicie las aplicaciones para que los cambios surtan efecto.
Asimismo, si ha desplegado aplicaciones autocontenidas (self-contained) basadas en cualquiera de las versiones afectadas, estas también son vulnerables y deben recompilarse e implementarse nuevamente.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| .NET (NuGet) | System.Security.Cryptography.Xml | >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 8.0.0, < 8.0.5, >= 9.0.0, < 9.0.21 | 10.0.13, 11.0.0-rc.2, 8.0.5, 9.0.21 |
Referencias
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- Debilidad (CWE)
CWE-405- Plataforma
- .NET (NuGet)
- Paquete
System.Security.Cryptography.Xml- Publicada
- 13.10.2026
- Actualizado
- 19.10.2026 19:17
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-7hqp-7c5m-4vq6 - CC BY 4.0
Historial de vulnerabilidades: System.Security.Cryptography.Xml
Todas las vulnerabilidades publicadas de este paquete (.NET (NuGet)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 14
- Primera → última
- 10.2018 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 13
- Media 1
Divulgaciones por año
- 2018: 2
- 2019: 0
- 2020: 0
- 2021: 0
- 2022: 0
- 2023: 0
- 2024: 1
- 2025: 0
- 2026: 11
-
Aviso de seguridad de Microsoft CVE-2026-96960 - Vulnerabilidad de denegación de servicio en .NET y Visual Studio esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.