Alta

Aviso de seguridad de Microsoft CVE-2026-70159: vulnerabilidad de denegación de servicio en ASP.NET Core

Publicada: 13.10.2026
Actualizado: 19.10.2026 19:17

El aviso original ha cambiado desde que se preparó esta explicación. Consulta los datos técnicos actuales y el aviso original a continuación.

Resumen ejecutivo

Microsoft publica este aviso de seguridad para proporcionar información sobre una vulnerabilidad en Microsoft.AspNetCore.SignalR.Common y Microsoft.AspNetCore.SignalR.Core. Este aviso también brinda orientación sobre las medidas que los desarrolladores pueden tomar para actualizar sus aplicaciones y solucionar esta vulnerabilidad.

Los clientes con reconexión con estado (stateful reconnect) de SignalR pueden bloquear indefinidamente las difusiones (broadcasts) mediante la contrapresión de MessageBuffer.ResendAsync y retener los recursos asociados.

Anuncio

El anuncio sobre este problema se encuentra disponible en https://github.com/dotnet/announcements/issues/452.

Detalles de CVSS

Versión: 3.1
Gravedad: Alta
Puntuación: 7.5
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Debilidad: CWE-770 (Asignación de recursos sin límites o regulación)

Plataformas afectadas

Plataformas: Windows, Linux, macOS
Arquitecturas: Todas

<a name="affected-packages"></a>Paquetes afectados

La vulnerabilidad afecta a proyectos de Microsoft .NET que utilicen alguna de las versiones de paquetes afectadas indicadas a continuación.

Nombre del paquete	Versión afectada	Versión corregida
Microsoft.AspNetCore.SignalR.Common)	>= 10.0.0, <= 10.0.12	10.0.13
Microsoft.AspNetCore.SignalR.Core)	>= 1.0.0, <= 1.2.13	1.2.14
Microsoft.AspNetCore.SignalR.Common)	>= 11.0.0-preview.5, <= 11.0.0-rc.1	11.0.0-rc.2
Microsoft.AspNetCore.SignalR.Common)	>= 8.0.0, <= 8.0.31	8.0.32
Microsoft.AspNetCore.SignalR.Common)	>= 9.0.0, <= 9.0.20	9.0.21

Preguntas frecuentes del aviso

<a name="how-affected"></a>¿Cómo sé si estoy afectado?

Si utiliza un paquete listado en paquetes afectados, se encuentra expuesto a la vulnerabilidad.

Otra información

Notificación de problemas de seguridad

Si ha detectado un posible problema de seguridad en una versión con soporte de .NET, infórmelo al Microsoft Security Response Center (MSRC) a través del Portal de Investigadores de MSRC.). Puede encontrar información adicional en las Preguntas frecuentes sobre cómo notificar un problema de MSRC.).

Los informes de seguridad remitidos a través de MSRC pueden calificar para el Microsoft .NET Bounty Program. Los detalles y términos del programa están disponibles en https://aka.ms/corebounty..

Soporte

Puede realizar consultas sobre este problema en GitHub dentro de la organización de GitHub de .NET. Los repositorios principales se encuentran en https://github.com/dotnet/runtime.. El repositorio de Avisos (https://github.com/dotnet/Announcements)) contendrá este boletín como un issue con un enlace hacia un issue de discusión donde podrá consultar dudas.

Renuncia de responsabilidad

La información proporcionada en este aviso se suministra "tal cual" sin garantía de ningún tipo. Microsoft renuncia a todas las garantías, expresas o implícitas, incluidas las garantías de comerciabilidad e idoneidad para un fin determinado. En ningún caso Microsoft Corporation ni sus proveedores serán responsables de daños de cualquier tipo, incluidos los daños directos, indirectos, incidentales, consecuentes, lucro cesante o daños especiales, incluso si Microsoft Corporation o sus proveedores hubieran sido advertidos de la posibilidad de dichos daños. Algunos estados o jurisdicciones no permiten la exclusión o limitación de responsabilidad por daños incidentales o consecuentes, por lo que la limitación anterior podría no aplicarse.

Enlaces externos

CVE-2026-70159)

Agradecimientos

nono
Vincent55 Yang (https://vincent55.tw/))

Revisiones

V1.0 (10/13/2026): Aviso publicado.

Qué hacer

<a name="how-fix"></a>¿Cómo soluciono el problema?

Para corregir el problema, instale la versión más reciente de .NET. Si ha instalado uno o más SDKs de .NET a través de Visual Studio, este le solicitará que actualice Visual Studio, lo que también actualizará sus SDKs de .NET.
Si su aplicación hace referencia al paquete vulnerable, actualice dicha referencia a la versión corregida. Puede listar las versiones que tiene instaladas ejecutando el comando dotnet --info.

Una vez instalado el runtime o SDK actualizado, reinicie sus aplicaciones para que la actualización surta efecto.

Además, si ha implementado aplicaciones autocontenidas (self-contained)) orientadas a cualquiera de las versiones afectadas, estas aplicaciones también son vulnerables y deben recompilarse e implementarse de nuevo.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
.NET (NuGet)	Microsoft.AspNetCore.SignalR.Common	>= 10.0.0, < 10.0.13, >= 11.0.0-preview.5, < 11.0.0-rc.2, >= 8.0.0, < 8.0.32, >= 9.0.0, < 9.0.21	10.0.13, 11.0.0-rc.2, 8.0.32, 9.0.21

Referencias

Puntuación CVSS 7.5/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Debilidad (CWE): CWE-770
Plataforma: .NET (NuGet)
Paquete: Microsoft.AspNetCore.SignalR.Common
Publicada: 13.10.2026
Actualizado: 19.10.2026 19:17

Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.

OSV / GitHub Advisory Database - GHSA-334f-vvp4-7g6p - CC BY 4.0

Historial de vulnerabilidades: Microsoft.AspNetCore.SignalR.Common

Todas las vulnerabilidades publicadas de este paquete (.NET (NuGet)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Esta es la única vulnerabilidad conocida de este paquete.

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación