Qwik: Caída de cualquier servidor Qwik mediante Resource thenable
Resumen
Un servidor Qwik en la configuración predeterminada puede bloquearse con una sola solicitud HTTP no autenticada. Durante el análisis del cuerpo de qwik-json, ResourceSerializer.$fill$ ejecuta Promise.resolve(resource._resolved). Si _resolved es un objeto simple cuyo .then es un QRL para un símbolo no registrado, el QRL asíncrono se rechaza, el rechazo queda huérfano y Node finaliza el proceso mediante su directiva predeterminada de rechazos no controlados.
Impacto
Una sola solicitud no autenticada provoca la caída del servidor. El envío continuo de solicitudes mantiene inactiva cada réplica mientras el atacante siga enviándolas.
Qué hacer
Actualice @builder.io/qwik a la versión 1.20.0 o posterior, y @qwik.dev/core a la versión 2.0.0-beta37 o posterior.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | @builder.io/qwik | < 1.20.0 | 1.20.0 |
| Paquete de npm | @qwik.dev/core | < 2.0.0-beta37 | 2.0.0-beta37 |
Referencias
- https://github.com/QwikDev/qwik/security/advisories/GHSA-x586-xvc8-g7q6
- https://nvd.nist.gov/vuln/detail/CVE-2026-84994
- https://github.com/QwikDev/qwik/pull/8655
- https://github.com/QwikDev/qwik/commit/c1e7444402f9592b5cf9096e10bf303ab4640511
- https://github.com/QwikDev/qwik
- https://github.com/QwikDev/qwik/releases/tag/@builder.io/qwik@1.20.0
- Vector CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N- Debilidad (CWE)
CWE-248- Plataforma
- npm
- Paquete
@builder.io/qwik, @qwik.dev/core- Publicada
- 15.10.2026
- Actualizado
- 20.10.2026 08:34
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-x586-xvc8-g7q6 - CC BY 4.0
Historial de vulnerabilidades: @builder.io/qwik
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 5
- Primera → última
- 01.2023 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 2
- Alta 1
- Media 2
Divulgaciones por año
- 2023: 2
- 2024: 1
- 2025: 0
- 2026: 2
-
Qwik: Caída de cualquier servidor Qwik mediante Resource thenable esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.