Conoce las vulnerabilidades.
Protege tus aplicaciones.
Descubre qué vulnerabilidades afectan a tus tecnologías y cómo solucionarlas. Encuentra explicaciones claras, versiones afectadas y recomendaciones prácticas - desde CMS y plugins hasta bibliotecas de aplicaciones.
Una vulnerabilidad de salto de directorio en Windows permite a clientes con acceso a un servidor Vite eludir la lista de redirecciones permitidas mediante barras invertidas. Esto permite leer archivos fuera de la raíz de Vite a los que la cuenta del proceso del servidor tenga acceso.
El descubrimiento CDP de OpenClaw puede aceptar URLs de WebSocket bloqueadas, lo que permite a invocadores de menor confianza alcanzar destinos de red que deberían estar restringidos por directivas.
La falta de validación de origen en Storybook preview permite que un sitio malicioso realice cambios no autorizados en archivos de un servidor de desarrollo en ejecución. En condiciones específicas y con interacción del usuario, esto podría provocar la ejecución de código arbitrario.
Un problema en Electron causa que las comprobaciones de permisos HID y USB desde un iframe se atribuyan al marco principal. Esto puede provocar que aplicaciones con lógica basada en el origen otorguen a marcos embebidos accesos destinados a la página principal.
En ApostropheCMS antes de la versión 4.34.0, un endpoint REST elude las restricciones de páginas y campos, permitiendo a editores acceder a contenidos reservados a administradores si conocen el identificador.
La falta de autenticación en ApostropheCMS permite a usuarios no autenticados con una cookie CSRF estándar ejecutar operaciones de limpieza, eliminar archivos temporales de exportación y modificar registros de tareas en la base de datos.
Una vulnerabilidad en ApostropheCMS permite a cualquier usuario autenticado enumerar slugs en todo el sistema mediante el endpoint doc/slugTaken, exponiendo la existencia de contenido privado, borradores y contenido administrativo.
ApostropheCMS presenta una vulnerabilidad de cross-site scripting persistente donde los valores de estilo controlados por el editor en widgets se serializan en atributos HTML sin escape, permitiendo la ejecución de scripts arbitrarios.
Una vulnerabilidad de cross-site scripting almacenado en ApostropheCMS permite a usuarios autenticados con permisos de edición inyectar HTML y JavaScript arbitrarios en campos de color. Se recomienda actualizar a la versión 4.34.0 o posterior.
Una vulnerabilidad en la API de importación de ApostropheCMS elude los roles de publicación, permitiendo a editores sin permisos de publicación crear, reemplazar o eliminar contenido publicado no autorizado.
Una vulnerabilidad en ApostropheCMS permite a usuarios autenticados agotar el almacenamiento del servidor al descomprimir archivos debido a la falta de cuotas y limpieza tras fallos, provocando denegación de servicio.
En @apostrophecms/import-export, la continuación overrideDuplicates acepta opciones de reemplazo del cliente, lo que permite a colaboradores sobrescribir contenido publicado sin autorización de publicación.
Una vulnerabilidad en Vite permite la ejecución de scripts entre orígenes cuando un servidor de desarrollo pasa una URL de solicitud sin modificar a un middleware personalizado. Esto permite a un atacante ejecutar scripts maliciosos en el contexto de la página servida por el entorno de desarrollo.
En los servidores de desarrollo de Vite que se ejecutan en Node.js o Deno, peticiones manipuladas pueden exponer los primeros bytes de archivos ubicados fuera de los límites de acceso configurados mediante errores del analizador WebAssembly.
En Vite en sistemas que no son Windows, se pueden servir archivos fuera de la raíz del proyecto si una ruta importada coincide con una ruta absoluta del sistema y el servidor de desarrollo está expuesto a la red. La actualización a una versión corregida soluciona el problema.
Una vulnerabilidad de agotamiento de recursos sin autenticación en ApostropheCMS permite a atacantes remotos desencadenar el procesamiento y la limpieza de cargas fragmentadas sin autenticarse, lo que puede provocar una denegación de servicio.
Una vulnerabilidad de denegación de servicio en markdown-it permite a atacantes remotos bloquear el bucle de eventos de Node.js mediante definiciones de referencia de enlace multilínea manipuladas. Las definiciones no cerradas provocan un tiempo de ejecución cuadrático con la configuración predeterminada.
Una discrepancia en el procesamiento de URL en el cliente HTTP de Angular puede provocar la fuga de tokens XSRF hacia dominios externos. Los atacantes pueden aprovechar estos tokens para realizar acciones no autorizadas en la sesión de un usuario autenticado.
En las versiones afectadas del SDK de TypeScript para MCP, una solicitud HTTP dentro del límite de tamaño predeterminado puede agotar la memoria del servidor durante la validación, lo que permite provocar una denegación de servicio y bloquear el proceso.
Con HTML habilitado, markdown-it puede incurrir en tiempos de análisis cuadráticos ante construcciones HTML repetidas sin cerrar, lo que permite bloquear el bucle de eventos y provocar denegación de servicio.
Una vulnerabilidad en el SDK de servidor MCP TypeScript provoca que se entreguen respuestas y notificaciones al cliente HTTP equivocado si se comparten instancias de servidor o transporte.
Una vulnerabilidad en launch-editor permite eludir la comprobación de existencia de archivos en Windows mediante una ruta manipulada. Combinada con fallos de escape de argumentos, puede derivar en inyección de comandos del sistema operativo si se controla la ruta del archivo.
Una vulnerabilidad en el SDK MCP para TypeScript permite que servidores con autenticación bearer acepten tokens emitidos para otros servicios al compartir un servidor de autorización. Esto permite reutilizar tokens válidos para acceder sin autorización a menos que se verifique la audiencia del token.
En versiones afectadas de MCP TypeScript SDK, las tareas experimentales no estaban vinculadas a la sesión que las creó. Clientes que compartían un controlador podían listar, leer y cancelar tareas de otros clientes.
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.
Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.
Un resumen diario de nuevas vulnerabilidades, también las críticas.
Avisos sobre actualizaciones importantes.
Consejos prácticos sobre seguridad y monitorización de aplicaciones.
Escriba al menos dos caracteres para ver sugerencias.
/abre el buscador↑↓elegir resultadoEnterir al resultadoESCcierra
Respetamos tu privacidad
Usamos cookies para que el sitio funcione y para saber qué mejorar en él. Sin tu consentimiento solo funciona lo imprescindible. Puedes cambiar tu elección cuando quieras desde el pie de página.
Leer la política de privacidad
Ajustes de cookies
Decide a qué das tu consentimiento. Las cookies necesarias están siempre activas: sin ellas el sitio ni siquiera recordaría esta elección.
Leer la política de privacidad
Siempre activas
La sesión, la protección de los formularios y el recuerdo de esta misma elección. El sitio no funciona sin ellas, así que no se pueden desactivar.
Recordar tu idioma, el tema y los ajustes de accesibilidad para que no tengas que elegirlos en cada visita.
Estadísticas anónimas de visitas: qué páginas se leen y dónde se pierde la gente. Con eso mejoramos el sitio.
Medir la eficacia de nuestros anuncios y ajustarlos a tus intereses en servicios externos.
