Alta

Aviso de seguridad de Microsoft CVE-2026-96230 - Vulnerabilidad de ejecución remota de código en ASP.NET Core

Publicada: 13.10.2026
Actualizado: 19.10.2026 22:17

El aviso original ha cambiado desde que se preparó esta explicación. Consulta los datos técnicos actuales y el aviso original a continuación.

Resumen ejecutivo

Microsoft publica este aviso de seguridad para proporcionar información sobre una vulnerabilidad en Microsoft.AspNetCore.Components.WebAssembly.Server. Este aviso también ofrece orientación sobre las medidas que pueden adoptar los desarrolladores para actualizar sus aplicaciones y solucionar esta vulnerabilidad.

La página de depuración del servidor de desarrollo de Blazor WebAssembly puede reflejar texto de excepción sin codificar, lo que permite la inyección de secuencias de comandos entre orígenes (cross-origin script injection) a través del extremo no autenticado /_framework/debug utilizado por dotnet watch.

Anuncio

El anuncio de este problema se encuentra en https://github.com/dotnet/announcements/issues/478

Detalles de CVSS

Versión: 3.1
Gravedad: Alta
Puntuación: 8.8
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Debilidad: CWE-79 (Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting'))

Plataformas afectadas

Plataformas: Windows, Linux, macOS
Arquitecturas: Todas

Paquetes afectados

La vulnerabilidad afecta a proyectos de Microsoft .NET que utilizan una de las versiones de paquete afectadas detalladas a continuación.

Nombre del paquete	Versión afectada	Versión corregida
Microsoft.AspNetCore.Components.WebAssembly.Server	>= 10.0.0, <= 10.0.12	10.0.13
Microsoft.AspNetCore.Components.WebAssembly.Server	>= 11.0.0-preview.1, <= 11.0.0-rc.1	11.0.0-rc.2
Microsoft.AspNetCore.Components.WebAssembly.Server	>= 8.0.0, <= 8.0.31	8.0.32
Microsoft.AspNetCore.Components.WebAssembly.Server	>= 9.0.0, <= 9.0.20	9.0.21

Preguntas frecuentes del aviso

¿Cómo sé si estoy afectado?

Si utiliza un paquete listado en los paquetes afectados, se encuentra expuesto a la vulnerabilidad.

Otra información

Notificación de problemas de seguridad

Si ha encontrado un posible problema de seguridad en una versión admitida de .NET, infórmelo al Microsoft Security Response Center (MSRC) a través del Portal para investigadores de MSRC.. Encontrará más información en las Preguntas frecuentes sobre cómo informar un problema de MSRC..

Los informes de seguridad enviados a través de MSRC pueden calificar para el Microsoft .NET Bounty. Los detalles del programa Microsoft .NET Bounty, incluidos los términos y condiciones, están en https://aka.ms/corebounty..

Soporte

Puede realizar consultas sobre este problema en GitHub dentro de la organización de GitHub de .NET. Los repositorios principales se encuentran en https://github.com/dotnet/runtime.. El repositorio de anuncios (https://github.com/dotnet/Announcements)) contendrá este boletín como un issue e incluirá un enlace a un hilo de discusión donde podrá hacer preguntas.

Descargo de responsabilidad

La información proporcionada en este aviso se suministra "tal cual", sin garantía de ningún tipo. Microsoft renuncia a todas las garantías, ya sean expresas o implícitas, incluidas las garantías de comerciabilidad e idoneidad para un fin determinado. En ningún caso Microsoft Corporation o sus proveedores serán responsables de ningún daño, incluidos daños directos, indirectos, incidentales, consecuentes, pérdida de beneficios empresariales o daños especiales, incluso si Microsoft Corporation o sus proveedores han sido advertidos de la posibilidad de tales daños. Algunos estados no permiten la exclusión o limitación de responsabilidad por daños consecuentes o incidentales, por lo que la limitación anterior puede no ser aplicable.

Enlaces externos

CVE-2026-96230

Agradecimientos

Kevin Gosse

Revisiones

V1.0 (10/13/2026): Aviso publicado.

Qué hacer

¿Cómo soluciono el problema?

Para solucionar el problema, instale la versión más reciente de .NET. Si ha instalado uno o más SDK de .NET a través de Visual Studio, Visual Studio le indicará que actualice el entorno, lo que también actualizará sus SDK de .NET.
Si su aplicación hace referencia al paquete vulnerable, actualice la referencia al paquete a la versión corregida. Puede listar las versiones que tiene instaladas ejecutando el comando dotnet --info.

Una vez instalado el entorno de ejecución o SDK actualizado, reinicie sus aplicaciones para que la actualización surta efecto.

Además, si ha implementado aplicaciones independientes (self-contained) dirigidas a cualquiera de las versiones afectadas, estas aplicaciones también son vulnerables y deben recompilarse y reimplementarse.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
.NET (NuGet)	Microsoft.AspNetCore.Components.WebAssembly.Server	>= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 8.0.0, < 8.0.32, >= 9.0.0, < 9.0.21	10.0.13, 11.0.0-rc.2, 8.0.32, 9.0.21

Referencias

Puntuación CVSS 8.8/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Debilidad (CWE): CWE-79
Plataforma: .NET (NuGet)
Paquete: Microsoft.AspNetCore.Components.WebAssembly.Server
Publicada: 13.10.2026
Actualizado: 19.10.2026 22:17

Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.

OSV / GitHub Advisory Database - GHSA-qjpx-jqm5-h2c4 - CC BY 4.0

Historial de vulnerabilidades: Microsoft.AspNetCore.Components.WebAssembly.Server

Todas las vulnerabilidades publicadas de este paquete (.NET (NuGet)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Esta es la única vulnerabilidad conocida de este paquete.

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación