sharp : Vulnerability in librsvg dependency CVE-2026-96889
Impact
A memory-related vulnerability has been discovered and fixed in the upstream librsvg dependency. When certain runtime-specific conditions apply, this vulnerability can lead to possible remote code execution (RCE) on glibc-based Linux.
Patches
Using prebuilt binaries provided by sharp?
Most people rely on the prebuilt binaries provided by sharp.
Please upgrade sharp to the latest version, currently 0.35.5, which provides librsvg 2.63.2.
Using a globally-installed librsvg?
Please ensure you are using the latest librsvg 2.63.2.
Workarounds
Add the following to your code to prevent sharp from decoding SVG images.
sharp.block({ operation: ["VipsForeignLoadSvg"] });To avoid RCE, ensure you are using a node executable binary compiled as a Position Independent Executable (PIE). Most Linux package managers already use this security-hardening feature however be warned that the "official" Node.js binaries do not.
1
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | sharp | < 0.35.5 | 0.35.5 |
Referencias
- https://github.com/lovell/sharp/security/advisories/GHSA-wq5f-xc86-pv6w
- https://github.com/lovell/sharp/commit/96de105d9d36ab04c76c2b78b97255171630d236
- https://github.com/lovell/sharp
- https://github.com/lovell/sharp/releases/tag/v0.35.5
- https://gitlab.gnome.org/GNOME/librsvg/-/work_items/1241
- https://www.cve.org/CVERecord?id=CVE-2026-96889
- Vector CVSS
CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H- Debilidad (CWE)
CWE-1395, CWE-416- Plataforma
- npm
- Paquete
sharp- Publicada
- 06.10.2026
- Actualizado
- 21.10.2026 14:17
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-wq5f-xc86-pv6w - CC BY 4.0
Historial de vulnerabilidades: sharp
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 5
- Primera → última
- 06.2022 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 4
- Media 1
Divulgaciones por año
- 2022: 1
- 2023: 1
- 2024: 0
- 2025: 0
- 2026: 3
-
sharp : Vulnerability in librsvg dependency CVE-2026-96889 esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.