Conoce las vulnerabilidades. Protege tus aplicaciones.

Vite: Los primeros 4 bytes de archivos fuera de la configuración `server.fs` quedan expuestos por `?vite-wasm-instance`

En los servidores de desarrollo de Vite que se ejecutan en Node.js o Deno, peticiones manipuladas pueden exponer los primeros bytes de archivos ubicados fuera de los límites de acceso configurados mediante errores del analizador WebAssembly.

Vite: Se podrían servir archivos fuera de `server.fs.allow` cuando las rutas del proyecto coinciden con rutas del sistema en sistemas no Windows

En Vite en sistemas que no son Windows, se pueden servir archivos fuera de la raíz del proyecto si una ruta importada coincide con una ruta absoluta del sistema y el servidor de desarrollo está expuesto a la red. La actualización a una versión corregida soluciona el problema.

@angular/common: Fuga del token XSRF por discrepancia en el análisis de URL en el cliente HTTP de Angular (Corrección incompleta para CVE-2025-66035)

Una discrepancia en el procesamiento de URL en el cliente HTTP de Angular puede provocar la fuga de tokens XSRF hacia dominios externos. Los atacantes pueden aprovechar estos tokens para realizar acciones no autorizadas en la sesión de un usuario autenticado.

launch-editor: escapeCmdArgs() omite el escape de % en Windows

En Windows, launch-editor no escapa adecuadamente el carácter de porcentaje, lo que permite la ejecución de comandos si se colocan archivos manipulados y se alteran variables de entorno o flujos NTFS.

ApostropheCMS: El público general puede acceder a objetos @apostrophecms/user mediante relaciones

En ApostropheCMS, la falta de aplicación de viewRole al público general permite acceder a objetos de usuario mediante relaciones si las plantillas exponen la información de forma indebida.

Quasar Framework: App Vite SSG page output paths can escape the configured distribution directory

Quasar Framework: App Vite build cleanup can recursively remove unsafe configured output directories

md-editor-v3: XSS via fenced-code language rendering bypass

Vitest: Path Traversal / Arbitrary File Read via @vitest/mocker Redirect Mock

Unleash: Global Mustache.escape override disables HTML escaping process-wide, enabling Slack/Teams link-injection via unrestricted username