Conoce las vulnerabilidades. Protege tus aplicaciones.

Media 21.10.2026

CVE-2026-112957

ApostropheCMS: GET /api/v1/@apostrophecms/page/:id elude la restricción viewRole y expone campos protegidos por viewPermission a usuarios con menos privilegios

En ApostropheCMS antes de la versión 4.34.0, un endpoint REST elude las restricciones de páginas y campos, permitiendo a editores acceder a contenidos reservados a administradores si conocen el identificador.

npm

apostrophe

Media 20.10.2026

CVE-2026-110904

ApostropheCMS: Omisión de autorización en la API REST de páginas

Una omisión de autorización en la API REST de páginas de ApostropheCMS permite a visitantes no autenticados y colaboradores con pocos privilegios leer contenido restringido y la estructura del sitio.

npm

apostrophe

Media 20.10.2026

CVE-2026-113664

ApostropheCMS import-export tar guard misses './..' because it is a literal '../' substring test

Una validación de subcadena en la extracción tar de ApostropheCMS import-export no bloquea rutas relativas alternas, permitiendo a usuarios autenticados detener el proceso de Node.

npm

@apostrophecms/import-export

Alta 20.10.2026

CVE-2026-113666

ApostropheCMS: Eliminación de miembros del prototipo por exclusión de proyección en @apostrophecms/db-connect causa denegación de servicio

ApostropheCMS permite a usuarios autenticados en adaptadores SQLite o PostgreSQL eliminar métodos de prototipo compartidos mediante proyecciones de exclusión, provocando una denegación de servicio persistente en todo el proceso.

npm

apostrophe, @apostrophecms/db-connect

Alta 09.10.2026

CVE-2026-108259

Tina: Inyección de código mediante un nombre de rama de Git no escapado en el código fuente generado del cliente

Una vulnerabilidad en TinaCMS CLI permite la ejecución arbitraria de JavaScript durante la compilación del proyecto debido a la inserción de un nombre de rama de Git sin escapar en el código cliente generado.

npm

@tinacms/cli

Alta 08.10.2026

CVE-2026-61426

PraisonAI: AgentOS defaults to network-exposed no-auth mode, allowing unauthenticated agent invocation and instruction disclosure

npm

praisonai

Media 08.10.2026

CVE-2026-107391

music-metadata: MP4 stsd sample-entry size==0 causes a synchronous infinite loop (DoS) — unreleased regression on master

npm

music-metadata

Alta 08.10.2026

CVE-2026-107375

JHipster: SQL Injection in the Parameter of JHipster-Generated Reactive (WebFlux + R2DBC) Applicationssort

npm

generator-jhipster

Alta 06.10.2026

CVE-2026-86540

knowns OS Command Injection via Insecure LSP Binary Path Config in .knowns/config.json

npm

knowns

Alta 05.10.2026

CVE-2026-104859

@nx/docker: OS command injection in the @nx/docker release pipeline

npm

@nx/docker

Media 05.10.2026

CVE-2026-104872

Multiple @opentelemetry/instrumentation-* packages expose database username via unconditional db.user span attribute

npm

@opentelemetry/instrumentation-cassandra-driver, @opentelemetry/instrumentation-knex, @opentelemetry/instrumentation-mongoose +5

Crítica 05.10.2026

CVE-2026-104848

Tinypool: Prototype Pollution gadget in worker options leads to Remote Code Execution

npm

tinypool

Media 05.10.2026

CVE-2026-104182

stream-json: JSONC parser and verifier re-scan the whole accumulated comment on every input chunk

npm

stream-json

Media 05.10.2026

CVE-2026-104183

stream-json has a prototype pollution issue: Assembler writes this.current[this.key] on plain objects

npm

stream-json

Crítica 05.10.2026

CVE-2026-92955

vm2: Sandbox Escape (NodeVM)

npm

vm2

Alta 02.10.2026

CVE-2026-104861

probe-image-size: Quadratic-time Denial of Service in the SVG Parser

npm

probe-image-size

Alta 02.10.2026

CVE-2026-19481

@fastify/busboy vulnerable to Denial of Service via prototype-named multipart part header

npm

@fastify/busboy

Alta 30.09.2026

CVE-2026-101906

Axios: ReDoS (O(N²)) in shouldBypassProxy host normalization, reachable via untrusted redirect Location

npm

axios

Media 30.09.2026

ghsa-96h4-vgxj-gvm2

Nest: Unbounded memory growth in the NestJS TCP microservice transport

npm

@nestjs/microservices

Alta 30.09.2026

ghsa-9c5c-9qcx-q35q

@nestjs/platform-fastify: Path-scoped middleware bypass via absolute-form request targets

npm

@nestjs/platform-fastify

Alta 29.09.2026

CVE-2026-102282

adm-zip extraction preserves SUID/SGID bits from untrusted ZIPs -> local privilege escalation

npm

adm-zip

Alta 28.09.2026

ghsa-456v-xq2p-r4cj

code-ollama: `grep_search` Command Injection via Unescaped `$()` Shell Substitution (CWE-78)

npm

code-ollama

Alta 24.09.2026

CVE-2026-59723

Cline: Cross-Origin WebSocket Hijacking in Cline Hub Dashboard (`/browser` endpoint)

npm

cline

Crítica 24.09.2026

CVE-2026-61742

DBHub HTTP transport DNS rebinding allows unauthenticated browser-origin SQL execution

npm

@bytebase/dbhub