Aviso de seguridad de Microsoft CVE-2026-66822 - Vulnerabilidad de divulgación de información en .NET y Visual Studio
El aviso original ha cambiado desde que se preparó esta explicación. Consulta los datos técnicos actuales y el aviso original a continuación.
Resumen ejecutivo
Microsoft publica este aviso de seguridad para proporcionar información sobre una vulnerabilidad en System.Net.Http. SocketsHttpHandler puede conservar un encabezado Proxy-Authorization tras una redirección HTTP y filtrar credenciales básicas de proxy al servidor de destino.
Anuncio
El anuncio de este problema se encuentra disponible en https://github.com/dotnet/announcements/issues/448.
Detalles de CVSS
- Versión: 3.1
- Gravedad: Moderada (Moderate)
- Puntuación: 5.9
- Vector:
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N - Debilidad: CWE-201 (Inserción de información confidencial en los datos enviados)
Plataformas afectadas
- Plataformas: Windows, Linux, macOS
- Arquitecturas: Todas
Paquetes afectados
La vulnerabilidad afecta a proyectos de Microsoft .NET que utilicen alguna de las versiones de paquetes afectadas listadas a continuación:
Preguntas frecuentes (FAQ)
¿Cómo sé si estoy afectado?
Si utiliza alguno de los paquetes enumerados en la tabla de paquetes afectados, su sistema está expuesto a la vulnerabilidad.
Otra información
Notificación de problemas de seguridad
Si ha detectado un posible problema de seguridad en una versión compatible de .NET, infórmelo al Microsoft Security Response Center (MSRC) a través del portal de investigadores de MSRC.). Puede encontrar información adicional en las preguntas frecuentes sobre notificación de problemas de MSRC.).
Los informes de seguridad realizados a través del MSRC pueden calificar para el programa de recompensas Microsoft .NET Bounty. Los detalles del programa, incluidos términos y condiciones, están en https://aka.ms/corebounty..
Soporte
Puede plantear preguntas sobre este problema en GitHub dentro de la organización de GitHub de .NET. Los repositorios principales se encuentran en https://github.com/dotnet/runtime.. El repositorio Announcements (https://github.com/dotnet/Announcements)) contendrá este boletín como un issue e incluirá un enlace a un issue de discusión donde podrá hacer consultas.
Descargo de responsabilidad
La información proporcionada en este aviso se suministra "tal cual", sin garantía de ningún tipo. Microsoft renuncia a todas las garantías, expresas o implícitas, incluidas las garantías de comerciabilidad e idoneidad para un propósito particular. En ningún caso Microsoft Corporation o sus proveedores serán responsables de ningún daño, incluidos daños directos, indirectos, incidentales, consecuentes, pérdida de beneficios comerciales o daños especiales.
Enlaces externos
Agradecimientos
- Ky0toFu (@ky0tofu)
- jhanks
- Lucas Futures
- Wenhan Zhou
- Weeraphat Srisutham
- Brent Woodard (@crusader_sec) con Crusader Security, LLC (https://crusaderproxy.com/))
- Kevin Schmidt
- Piotr Pietruszewski
- Leandro Batista
- Raffaello Tamagnini
- Harkenzo
- Anónimo
- Attila.Cs (zerodaybugs.com) con https://zerodaybugs.com/
- l8BL con ENKI WhiteHat (https://www.enki.co.kr/))
- caveeroo (https://caveeroo.dev/)) con Tarlogic (https://www.tarlogic.com/))
Revisiones
V1.0 (10/13/2026): Aviso publicado.
Qué hacer
Para solucionar la vulnerabilidad, siga estos pasos:
- Instale la versión más reciente de .NET. Si ha instalado uno o más SDK de .NET a través de Visual Studio, Visual Studio le solicitará que actualice Visual Studio, lo que también actualizará sus SDK de .NET.
- Si su aplicación hace referencia al paquete vulnerable, actualice la referencia del paquete a la versión corregida. Puede listar las versiones que tiene instaladas ejecutando el comando
dotnet --info.
Una vez instalado el runtime o SDK actualizado, reinicie sus aplicaciones para que la actualización surta efecto.
Asimismo, si ha implementado aplicaciones autónomas (self-contained)) dirigidas a cualquiera de las versiones afectadas, dichas aplicaciones también son vulnerables y deben recompilarse e implementarse nuevamente.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-arm | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-arm64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-musl-arm | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-musl-arm64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-musl-x64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-x64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.osx-arm64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.osx-x64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.win-arm64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.win-x64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.win-x86 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
Referencias
- https://github.com/dotnet/runtime/security/advisories/GHSA-wxxw-5cvc-53j7
- https://github.com/dotnet/announcements/issues/448
- https://github.com/dotnet/runtime/issues/135697
- https://github.com/dotnet/runtime
- https://nvd.nist.gov/vuln/detail/CVE-2026-66822
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-66822
- Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N- Debilidad (CWE)
CWE-201- Plataforma
- .NET (NuGet)
- Paquete
Microsoft.NETCore.App.Runtime.linux-arm, Microsoft.NETCore.App.Runtime.linux-arm64, Microsoft.NETCore.App.Runtime.linux-musl-arm- Publicada
- 13.10.2026
- Actualizado
- 19.10.2026 22:17
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-wxxw-5cvc-53j7 - CC BY 4.0
Historial de vulnerabilidades: Microsoft.NETCore.App.Runtime.linux-arm
Todas las vulnerabilidades publicadas de este paquete (.NET (NuGet)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 35
- Primera → última
- 09.2020 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 1
Distribución por gravedad
- Alta 22
- Media 12
- Baja 1
Divulgaciones por año
- 2020: 1
- 2021: 0
- 2022: 6
- 2023: 5
- 2024: 4
- 2025: 5
- 2026: 14
-
Aviso de seguridad de Microsoft CVE-2026-66822 - Vulnerabilidad de divulgación de información en .NET y Visual Studio esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.