Conoce las vulnerabilidades. Protege tus aplicaciones.

Media 21.10.2026

CVE-2026-112394

Pillow: Los decodificadores P;2L y P;4L pueden leer de 1 a 3 bytes más allá del tamaño del búfer

Una vulnerabilidad de lectura fuera de límites en Pillow permite a ciertos decodificadores leer memoria del montículo más allá del búfer con ciertas dimensiones de imagen. Esto puede incorporar datos adyacentes en los píxeles decodificados o provocar una caída de la aplicación.

Python (PyPI)

pillow

Alta 21.10.2026

CVE-2026-112392

Pillow: Desreferencia de NULL en ImagingExpand mediante filtros de rango en imágenes de tamaño cero

Aplicar filtros de rango, mediana, mínimo o máximo a imágenes con ancho o alto cero en Pillow provoca una desreferencia de puntero NULL en ImagingExpand, lo que causa la caída del proceso Python y genera denegación de servicio.

Python (PyPI)

pillow

Alta 21.10.2026

CVE-2026-112390

Pillow: Bucle infinito en MIC n_frames con TIFF incrustado

Una vulnerabilidad en Pillow permite que archivos Microsoft Image Composer (MIC) manipulados con secuencias TIFF incrustadas provoquen un bucle infinito y un consumo del 100 % de la CPU al consultar el número de fotogramas, causando denegación de servicio.

Python (PyPI)

pillow

Alta 20.10.2026

CVE-2026-112400

Pillow: la búsqueda en GIF mantiene el tamaño rechazado tras DecompressionBombError, permitiendo DoS

Un fallo en Pillow permite que un archivo GIF manipulado provoque una asignación excesiva de memoria cuando una aplicación captura errores de descompresión al avanzar fotogramas y reutiliza el objeto de imagen. Esto puede provocar el agotamiento de la memoria y una denegación de servicio.

Python (PyPI)

pillow

Media 15.10.2026

CVE-2026-102832

JupyterLab: El diálogo de confianza para enlaces de comandos puede confiar en un documento distinto al pulsado

En JupyterLab, el diálogo de confianza de enlaces de comando puede marcar como confiable el documento activo actual en lugar del que recibió el clic, lo que permite que botones en documentos no confiables se ejecuten sin confirmación.

Python (PyPI)

jupyterlab, jupyterlite-core, notebook

Media 09.10.2026

CVE-2026-107841

pacioli: Un marcador de consentimiento de envío autorizaba la cancelación de documentos preexistentes designados por el invocador

Una omisión de autorización en el control de consentimiento de pacioli permite que operaciones anidadas cancelen documentos preexistentes especificados por el invocador sin aprobación humana ni registro de auditoría.

Python (PyPI)

pacioli-guard

Media 09.10.2026

ghsa-9q47-3cm2-2rp8

pyLoad: Rate-Limit Bypass and Audit-Log Spoofing via Trusted Client-Controlled `X-Forwarded-For` Header

Python (PyPI)

pyload-ng

Alta 09.10.2026

ghsa-889w-m37p-88m5

pyLoad: Api.set_user_permission never invalidates the target's session

Python (PyPI)

pyload-ng

Media 09.10.2026

ghsa-p3pr-8f3m-4qp8

pyLoad WindowsPhoneNotify addon: non-admin SETTINGS user triggers SSRF via unguarded http.client notification host

Python (PyPI)

pyload-ng

Media 09.10.2026

CVE-2026-75597

pyLoad: Unauthenticated access to /web/<path:filename> bypasses authentication on sensitive templates and leaks internal error details via exception attribute typo

Python (PyPI)

pyload-ng

Alta 09.10.2026

CVE-2026-107728

Strawberry GraphQL: Synchronous permission checks can treat an awaitable authorization result as truthy

Python (PyPI)

strawberry-graphql

Alta 08.10.2026

CVE-2026-61435

PraisonAI: Call API localhost-only authentication bypass via spoofed Host header

Python (PyPI)

praisonai

Media 08.10.2026

CVE-2026-61431

PraisonAI: ContextGatherer include resolution permits absolute and traversal reads outside the workspace

Python (PyPI)

praisonai

Media 07.10.2026

CVE-2026-46438

wger: Cross-User Data Corruption via Missing Ownership Check on WorkoutLog.slot_entry

Python (PyPI)

wger

Media 07.10.2026

CVE-2026-45161

wger: trainer_login accepts GET - CSRF bypass enables forced session rebinding

Python (PyPI)

wger

Alta 07.10.2026

CVE-2026-43976

wger: cross-tenant admin notes/contracts leak via gym=None bypass (5 views)

Python (PyPI)

wger

Media 06.10.2026

ghsa-j8f7-x8jm-wmm4

Langflow: SSRF in URL-taking components (protection disabled by default / warn-only, not applied to RSS, SearXNG, Web Search, Home Assistant, Glean, Docling)

Python (PyPI)

langflow, langflow-base, lfx +1

Baja 06.10.2026

CVE-2026-105752

vLLM: Harmony tool continuations drop `cache_salt` — restoring a cross-tenant prefix-cache membership oracle

Python (PyPI)

vllm

Media 05.10.2026

CVE-2026-96747

PyMongo: PYTHON-5990 Forced Unix domain socket connection via a .sock KMS endpoint in client-side field level encryption

Python (PyPI)

pymongo

Media 05.10.2026

CVE-2026-105758

vLLM: Qwen2-VL / Qwen3-VL video samplers bound on request-controlled max_frames, which the num_frames ceiling does not reach

Python (PyPI)

vllm

Media 05.10.2026

CVE-2026-105756

vLLM: Loose `cache_salt` validation lets a single request kill EngineCore on LMCache-MP deployments — uncaught downstream `ValueError` denial of service

Python (PyPI)

vllm

Media 05.10.2026

CVE-2026-104874

Multidict: Reference leak in CIMultiDict/MultiDict items-view union and subtraction

Python (PyPI)

multidict

Alta 02.10.2026

CVE-2026-114094

Dulwich: Arbitrary File Write (RCE) on Windows via Unvalidated Drive Letters in Tree Paths

Python (PyPI)

dulwich

Alta 02.10.2026

CVE-2026-114096

Dulwich: Symlink write-through in checkout(paths=[]) via raw os.open bypasses all symlink protections

Python (PyPI)

dulwich