Media
CVE-2026-114128
Archivo de vulnerabilidades
Conoce las vulnerabilidades. Protege tus aplicaciones.
Descubre qué vulnerabilidades afectan a tus tecnologías y cómo solucionarlas. Encuentra explicaciones claras, versiones afectadas y recomendaciones prácticas - desde CMS y plugins hasta bibliotecas de aplicaciones.
Archivo de vulnerabilidades 561
Restablecer filtros
Baja
CVE-2026-114127
Astro: Arbitrary CSS injection in Astro View Transitions
Media
CVE-2026-112954
ApostropheCMS: Unauthenticated publicApiProjection bypass via search and sort query builders in the public REST API
Media
CVE-2026-112944
launch-editor: Editor CLI flag misinterpretation causing arbitrary command execution for some editors
Media
CVE-2026-112950
Vitest: La evasión de salto de directorio con barra invertida en Windows elude la corrección de lista de permitidos de @vitest/mocker
Una vulnerabilidad de salto de directorio en Windows permite a clientes con acceso a un servidor Vite eludir la lista de redirecciones permitidas mediante barras invertidas. Esto permite leer archivos fuera de la raíz de Vite a los que la cuenta del proceso del servidor tenga acceso.
Media
CVE-2026-62197
OpenClaw: El descubrimiento CDP del navegador podría aceptar URLs de WebSocket bloqueadas
El descubrimiento CDP de OpenClaw puede aceptar URLs de WebSocket bloqueadas, lo que permite a invocadores de menor confianza alcanzar destinos de red que deberían estar restringidos por directivas.
Crítica
CVE-2026-114125
Storybook: Falta de validación de origen en Storybook preview permite inyección de código desde sitios web maliciosos
La falta de validación de origen en Storybook preview permite que un sitio malicioso realice cambios no autorizados en archivos de un servidor de desarrollo en ejecución. En condiciones específicas y con interacción del usuario, esto podría provocar la ejecución de código arbitrario.
Media
CVE-2026-113800
Electron: las comprobaciones de permisos HID y USB pueden atribuirse al origen incorrecto
Un problema en Electron causa que las comprobaciones de permisos HID y USB desde un iframe se atribuyan al marco principal. Esto puede provocar que aplicaciones con lógica basada en el origen otorguen a marcos embebidos accesos destinados a la página principal.
Media
CVE-2026-112957
ApostropheCMS: GET /api/v1/@apostrophecms/page/:id elude la restricción viewRole y expone campos protegidos por viewPermission a usuarios con menos privilegios
En ApostropheCMS antes de la versión 4.34.0, un endpoint REST elude las restricciones de páginas y campos, permitiendo a editores acceder a contenidos reservados a administradores si conocen el identificador.
Baja
CVE-2026-113648
ApostropheCMS: Falta de autenticación en la ruta `cleanExport`
La falta de autenticación en ApostropheCMS permite a usuarios no autenticados con una cookie CSRF estándar ejecutar operaciones de limpieza, eliminar archivos temporales de exportación y modificar registros de tareas en la base de datos.
Media
CVE-2026-112952
ApostropheCMS: Divulgación de la existencia de contenido privado y administrativo a través del endpoint doc/slugTaken
Una vulnerabilidad en ApostropheCMS permite a cualquier usuario autenticado enumerar slugs en todo el sistema mediante el endpoint doc/slugTaken, exponiendo la existencia de contenido privado, borradores y contenido administrativo.
Media
CVE-2026-112958
ApostropheCMS: XSS persistente mediante serialización de atributos de estilo de widget sin escapar
ApostropheCMS presenta una vulnerabilidad de cross-site scripting persistente donde los valores de estilo controlados por el editor en widgets se serializan en atributos HTML sin escape, permitiendo la ejecución de scripts arbitrarios.
Media
CVE-2026-112951
ApostropheCMS: Evasión de validación del campo de color permite XSS almacenado mediante HTML añadido tras prefijo rgb()/hsl()
Una vulnerabilidad de cross-site scripting almacenado en ApostropheCMS permite a usuarios autenticados con permisos de edición inyectar HTML y JavaScript arbitrarios en campos de color. Se recomienda actualizar a la versión 4.34.0 o posterior.
Media
CVE-2026-113649
ApostropheCMS: La API de importación omite los roles de publicación para contenido protegido
Una vulnerabilidad en la API de importación de ApostropheCMS elude los roles de publicación, permitiendo a editores sin permisos de publicación crear, reemplazar o eliminar contenido publicado no autorizado.
Media
CVE-2026-112955
ApostropheCMS: Los archivos de importación pueden agotar el almacenamiento del servidor y provocar denegación de servicio
Una vulnerabilidad en ApostropheCMS permite a usuarios autenticados agotar el almacenamiento del servidor al descomprimir archivos debido a la falta de cuotas y limpieza tras fallos, provocando denegación de servicio.
Media
CVE-2026-112956
ApostropheCMS: La continuación de duplicados de archivo permite a colaboradores sobrescribir contenido publicado
En @apostrophecms/import-export, la continuación overrideDuplicates acepta opciones de reemplazo del cliente, lo que permite a colaboradores sobrescribir contenido publicado sin autorización de publicación.
Baja
CVE-2026-112945
Vite: Ejecución de scripts entre orígenes mediante middleware personalizado de Vite
Una vulnerabilidad en Vite permite la ejecución de scripts entre orígenes cuando un servidor de desarrollo pasa una URL de solicitud sin modificar a un middleware personalizado. Esto permite a un atacante ejecutar scripts maliciosos en el contexto de la página servida por el entorno de desarrollo.
Media
CVE-2026-112947
Vite: Los primeros 4 bytes de archivos fuera de la configuración `server.fs` quedan expuestos por `?vite-wasm-instance`
En los servidores de desarrollo de Vite que se ejecutan en Node.js o Deno, peticiones manipuladas pueden exponer los primeros bytes de archivos ubicados fuera de los límites de acceso configurados mediante errores del analizador WebAssembly.
Media
CVE-2026-112946
Vite: Se podrían servir archivos fuera de `server.fs.allow` cuando las rutas del proyecto coinciden con rutas del sistema en sistemas no Windows
En Vite en sistemas que no son Windows, se pueden servir archivos fuera de la raíz del proyecto si una ruta importada coincide con una ruta absoluta del sistema y el servidor de desarrollo está expuesto a la red. La actualización a una versión corregida soluciona el problema.
Alta
CVE-2026-113711
ApostropheCMS: Agotamiento de recursos sin autenticación mediante el procesamiento aposBigUpload pre-autenticación en @apostrophecms/import-export
Una vulnerabilidad de agotamiento de recursos sin autenticación en ApostropheCMS permite a atacantes remotos desencadenar el procesamiento y la limpieza de cargas fragmentadas sin autenticarse, lo que puede provocar una denegación de servicio.
Alta
CVE-2026-111758
markdown-it: Renderizado en tiempo cuadrático de una sola definición de referencia de enlace multilínea con opciones predeterminadas (regresión desde 14.0)
Una vulnerabilidad de denegación de servicio en markdown-it permite a atacantes remotos bloquear el bucle de eventos de Node.js mediante definiciones de referencia de enlace multilínea manipuladas. Las definiciones no cerradas provocan un tiempo de ejecución cuadrático con la configuración predeterminada.
Media
CVE-2026-111753
@angular/common: Fuga del token XSRF por discrepancia en el análisis de URL en el cliente HTTP de Angular (Corrección incompleta para CVE-2025-66035)
Una discrepancia en el procesamiento de URL en el cliente HTTP de Angular puede provocar la fuga de tokens XSRF hacia dominios externos. Los atacantes pueden aprovechar estos tokens para realizar acciones no autorizadas en la sesión de un usuario autenticado.
Alta
CVE-2026-111768
MCP TypeScript SDK: Una solicitud HTTP dentro del límite de tamaño predeterminado podía agotar la memoria del servidor durante la validación
En las versiones afectadas del SDK de TypeScript para MCP, una solicitud HTTP dentro del límite de tamaño predeterminado puede agotar la memoria del servidor durante la validación, lo que permite provocar una denegación de servicio y bloquear el proceso.
Baja
CVE-2026-111766
markdown-it: Denegación de servicio de tiempo cuadrático en el análisis de HTML en línea con HTML habilitado
Con HTML habilitado, markdown-it puede incurrir en tiempos de análisis cuadráticos ante construcciones HTML repetidas sin cerrar, lo que permite bloquear el bucle de eventos y provocar denegación de servicio.
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.