Media
CVE-2026-114131
Archivo de vulnerabilidades
Conoce las vulnerabilidades. Protege tus aplicaciones.
Descubre qué vulnerabilidades afectan a tus tecnologías y cómo solucionarlas. Encuentra explicaciones claras, versiones afectadas y recomendaciones prácticas - desde CMS y plugins hasta bibliotecas de aplicaciones.
Archivo de vulnerabilidades 920
Restablecer filtros
Baja
ghsa-c6gr-qvv4-5v3f
DOMPurify: SMIL attributeName=href guard is skipped when PARSER_MEDIA_TYPE is application/xhtml+xml
Media
CVE-2026-112958
ApostropheCMS: XSS persistente mediante serialización de atributos de estilo de widget sin escapar
ApostropheCMS presenta una vulnerabilidad de cross-site scripting persistente donde los valores de estilo controlados por el editor en widgets se serializan en atributos HTML sin escape, permitiendo la ejecución de scripts arbitrarios.
Media
CVE-2026-112951
ApostropheCMS: Evasión de validación del campo de color permite XSS almacenado mediante HTML añadido tras prefijo rgb()/hsl()
Una vulnerabilidad de cross-site scripting almacenado en ApostropheCMS permite a usuarios autenticados con permisos de edición inyectar HTML y JavaScript arbitrarios en campos de color. Se recomienda actualizar a la versión 4.34.0 o posterior.
Baja
CVE-2026-112945
Vite: Ejecución de scripts entre orígenes mediante middleware personalizado de Vite
Una vulnerabilidad en Vite permite la ejecución de scripts entre orígenes cuando un servidor de desarrollo pasa una URL de solicitud sin modificar a un middleware personalizado. Esto permite a un atacante ejecutar scripts maliciosos en el contexto de la página servida por el entorno de desarrollo.
Baja
CVE-2026-111766
markdown-it: Denegación de servicio de tiempo cuadrático en el análisis de HTML en línea con HTML habilitado
Con HTML habilitado, markdown-it puede incurrir en tiempos de análisis cuadráticos ante construcciones HTML repetidas sin cerrar, lo que permite bloquear el bucle de eventos y provocar denegación de servicio.
Media
CVE-2026-113664
ApostropheCMS import-export tar guard misses './..' because it is a literal '../' substring test
Una validación de subcadena en la extracción tar de ApostropheCMS import-export no bloquea rutas relativas alternas, permitiendo a usuarios autenticados detener el proceso de Node.
Media
CVE-2026-113659
ApostropheCMS: Prototype Pollution del lado del cliente en apos.http.parseQuery que deriva en XSS basado en DOM contra usuarios autenticados
Una vulnerabilidad de prototype pollution del lado del cliente en ApostropheCMS permite a atacantes ejecutar código JavaScript arbitrario en la sesión de un usuario autenticado si la víctima abre un enlace manipulado, lo que puede derivar en el compromiso total de la instancia.
Media
CVE-2026-113710
ApostropheCMS: La falta de limitación de intentos en el endpoint autenticado de cambio de contraseña permite adivinar la contraseña actual de forma ilimitada
La falta de limitación de intentos en el endpoint autenticado de cambio de contraseña de ApostropheCMS permite a atacantes con una sesión activa adivinar repetidamente la contraseña actual sin bloqueos, facilitando la toma de control de la cuenta.
Media
CVE-2026-113671
ApostropheCMS: la cabecera Host controla el origen de peticiones de imágenes en @apostrophecms/ai-helper, permitiendo SSRF autenticado
En @apostrophecms/ai-helper, un editor autenticado puede manipular la cabecera Host para controlar el origen de peticiones de imágenes y provocar ataques SSRF hacia la red interna.
Media
CVE-2026-113656
ApostropheCMS: Carga multipart no autenticada e ilimitada provoca DoS por agotamiento de disco
Atacantes no autenticados pueden enviar cuerpos multipart ilimitados al almacenamiento temporal en ApostropheCMS, provocando el agotamiento del espacio en disco y una denegación de servicio.
Media
CVE-2026-113654
ApostropheCMS sanitize-html: la región de descarte de nonTextTags finaliza antes de tiempo con un cierre implícito, permitiendo procesar el contenido de <noscript>
En sanitize-html antes de la versión 2.18.0, un cierre implícito dentro de elementos como <noscript> finaliza prematuramente la región de descarte, haciendo que su contenido se procese como elementos HTML ordinarios.
Alta
CVE-2026-111752
@angular/router: Denegación de servicio mediante coincidencia no válida de rutas de outlets con ruta vacía en Server-Side Rendering (SSR)
Una vulnerabilidad de denegación de servicio en Angular Router afecta al renderizado en el servidor (SSR) en Node.js. Atacantes remotos no autenticados pueden enviar URLs manipuladas con segmentos de salida vacíos para agotar la memoria o la CPU, provocando la caída del proceso y la interrupción del servicio.
Media
CVE-2026-111754
@angular/platform-server: Redirección abierta mediante URLs relativas al protocolo en Server-Side Rendering (SSR)
Una vulnerabilidad de redirección abierta en Angular SSR permite a atacantes remotos usar URLs con segmentos de punto para eludir validaciones y desviar usuarios a dominios externos.
Crítica
CVE-2026-102989
TanStack Router: XSS reflejado no autenticado en respuestas de funciones del servidor en TanStack Start
Una vulnerabilidad de XSS reflejado en TanStack Start permite a atacantes no autenticados ejecutar JavaScript malicioso en el navegador de la víctima mediante enlaces manipulados. Se recomienda actualizar inmediatamente a las versiones parcheadas.
Alta
CVE-2026-108259
Tina: Inyección de código mediante un nombre de rama de Git no escapado en el código fuente generado del cliente
Una vulnerabilidad en TinaCMS CLI permite la ejecución arbitraria de JavaScript durante la compilación del proyecto debido a la inserción de un nombre de rama de Git sin escapar en el código cliente generado.
Crítica
CVE-2026-108261
El iframe de vista previa del administrador de TinaCMS carga un origen controlado por el atacante desde el fragmento de URL
El iframe de vista previa del administrador de TinaCMS carga un origen controlado por atacantes desde el fragmento de la URL. Si un editor autenticado abre un enlace manipulado, atacantes remotos no autenticados pueden leer y escribir arbitrariamente en la API de contenido con sus privilegios.
Alta
CVE-2026-108260
@tinacms/web-components: `tina-markdown` escribe URLs de enlaces de texto enriquecido en `href` sin validar el esquema, permitiendo XSS almacenado
Una vulnerabilidad de XSS almacenado en @tinacms/web-components permite a usuarios con permisos de edición ejecutar scripts maliciosos debido a la falta de validación del esquema de URL en enlaces de texto enriquecido.
Media
CVE-2026-107719
fast-jwt: Verifier cache accepts expired JWTs without iat.
Alta
CVE-2026-107720
fast-jwt: createVerifier accepts unsigned JWTs when key is '' or null and algorithms is explicitly set
Crítica
CVE-2026-107722
fast-jwt: Incomplete patch of CVE-2026-34950: Non-whitespace key-prefix re-enables RSA→HS256 algorithm confusion
Media
CVE-2026-107721
fast-jwt clockTolerance: Infinity silently bypasses both exp and nbf validation (and persists in the verifier cache)
Alta
CVE-2026-107723
fast-jwt : Silent claim-validator bypass when JWT payload is a JSON array
Media
CVE-2026-107391
music-metadata: MP4 stsd sample-entry size==0 causes a synchronous infinite loop (DoS) — unreleased regression on master
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.