Media
CVE-2026-112944
Archivo de vulnerabilidades
Conoce las vulnerabilidades. Protege tus aplicaciones.
Descubre qué vulnerabilidades afectan a tus tecnologías y cómo solucionarlas. Encuentra explicaciones claras, versiones afectadas y recomendaciones prácticas - desde CMS y plugins hasta bibliotecas de aplicaciones.
Archivo de vulnerabilidades 129
Restablecer filtros
Media
CVE-2026-112950
Vitest: La evasión de salto de directorio con barra invertida en Windows elude la corrección de lista de permitidos de @vitest/mocker
Una vulnerabilidad de salto de directorio en Windows permite a clientes con acceso a un servidor Vite eludir la lista de redirecciones permitidas mediante barras invertidas. Esto permite leer archivos fuera de la raíz de Vite a los que la cuenta del proceso del servidor tenga acceso.
Media
CVE-2026-62197
OpenClaw: El descubrimiento CDP del navegador podría aceptar URLs de WebSocket bloqueadas
El descubrimiento CDP de OpenClaw puede aceptar URLs de WebSocket bloqueadas, lo que permite a invocadores de menor confianza alcanzar destinos de red que deberían estar restringidos por directivas.
Crítica
CVE-2026-114125
Storybook: Falta de validación de origen en Storybook preview permite inyección de código desde sitios web maliciosos
La falta de validación de origen en Storybook preview permite que un sitio malicioso realice cambios no autorizados en archivos de un servidor de desarrollo en ejecución. En condiciones específicas y con interacción del usuario, esto podría provocar la ejecución de código arbitrario.
Baja
CVE-2026-112945
Vite: Ejecución de scripts entre orígenes mediante middleware personalizado de Vite
Una vulnerabilidad en Vite permite la ejecución de scripts entre orígenes cuando un servidor de desarrollo pasa una URL de solicitud sin modificar a un middleware personalizado. Esto permite a un atacante ejecutar scripts maliciosos en el contexto de la página servida por el entorno de desarrollo.
Media
CVE-2026-112947
Vite: Los primeros 4 bytes de archivos fuera de la configuración `server.fs` quedan expuestos por `?vite-wasm-instance`
En los servidores de desarrollo de Vite que se ejecutan en Node.js o Deno, peticiones manipuladas pueden exponer los primeros bytes de archivos ubicados fuera de los límites de acceso configurados mediante errores del analizador WebAssembly.
Media
CVE-2026-112946
Vite: Se podrían servir archivos fuera de `server.fs.allow` cuando las rutas del proyecto coinciden con rutas del sistema en sistemas no Windows
En Vite en sistemas que no son Windows, se pueden servir archivos fuera de la raíz del proyecto si una ruta importada coincide con una ruta absoluta del sistema y el servidor de desarrollo está expuesto a la red. La actualización a una versión corregida soluciona el problema.
Media
CVE-2026-111753
@angular/common: Fuga del token XSRF por discrepancia en el análisis de URL en el cliente HTTP de Angular (Corrección incompleta para CVE-2025-66035)
Una discrepancia en el procesamiento de URL en el cliente HTTP de Angular puede provocar la fuga de tokens XSRF hacia dominios externos. Los atacantes pueden aprovechar estos tokens para realizar acciones no autorizadas en la sesión de un usuario autenticado.
Alta
CVE-2026-112942
launch-editor: se puede eludir la comprobación de existencia de `fs.existsSync()` en Windows
Una vulnerabilidad en launch-editor permite eludir la comprobación de existencia de archivos en Windows mediante una ruta manipulada. Combinada con fallos de escape de argumentos, puede derivar en inyección de comandos del sistema operativo si se controla la ruta del archivo.
Media
CVE-2026-112943
launch-editor: escapeCmdArgs() omite el escape de % en Windows
En Windows, launch-editor no escapa adecuadamente el carácter de porcentaje, lo que permite la ejecución de comandos si se colocan archivos manipulados y se alteran variables de entorno o flujos NTFS.
Media
CVE-2026-113653
ApostropheCMS: El público general puede acceder a objetos @apostrophecms/user mediante relaciones
En ApostropheCMS, la falta de aplicación de viewRole al público general permite acceder a objetos de usuario mediante relaciones si las plantillas exponen la información de forma indebida.
Alta
CVE-2026-104416
Ghost: Invite Token Disclosure in Ghost Admin API
Alta
CVE-2026-106105
Quasar Framework: Development TLS private keys are cached with overly permissive filesystem permissions
Alta
CVE-2026-106106
Quasar Framework: SSR/SSG dev error page discloses the full shell environment and its </script> escape is bypassable
Alta
CVE-2026-106107
Quasar Framework: App Vite SSR and SSG nonce attributes are not safely constrained
Media
CVE-2026-106108
Quasar Framework: App Vite SSG page output paths can escape the configured distribution directory
Media
CVE-2026-106109
Quasar Framework: App Vite build cleanup can recursively remove unsafe configured output directories
Alta
CVE-2026-106104
Quasar Framework: Super-linear regex backtracking on User-Agent lets one request stall a Quasar SSR server
Crítica
CVE-2026-106102
Quasar Framework: Stored/Reflected XSS via unescaped SSR meta tag rendering in getHead()
Crítica
CVE-2026-102829
simple-git: `VISUAL` editor environment variable is omitted from unsafe editor detection
Crítica
CVE-2026-104848
Tinypool: Prototype Pollution gadget in worker options leads to Remote Code Execution
Alta
CVE-2026-114081
Trigger.dev: Cross-tenant SQL injection in the TSQL query compiler (POST /api/v1/query) via unsanitized window-function name
Alta
ghsa-456v-xq2p-r4cj
code-ollama: `grep_search` Command Injection via Unescaped `$()` Shell Substitution (CWE-78)
Media
CVE-2026-84992
md-editor-v3: XSS via fenced-code language rendering bypass
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.