Conoce las vulnerabilidades. Protege tus aplicaciones.

Crítica 22.10.2026

ghsa-673q-mjm6-r5xr

Next.js: Ejecución remota de código no autenticada en funciones `use cache` que devuelven matrices tipadas

Una vulnerabilidad crítica en aplicaciones Next.js que usan App Router con Cache Component permite la ejecución remota de código sin autenticación cuando las funciones devuelven matrices tipadas. Se recomienda actualizar inmediatamente a la versión 16.4.1 o superior.

npm

next

Baja 22.10.2026

CVE-2026-114127

Astro: Arbitrary CSS injection in Astro View Transitions

npm

astro

Media 22.10.2026

CVE-2026-110871

Nodemailer: Quadratic (O(n^2)) DKIM header unfolding lets a large folded header cause remote denial of service during signing

npm

nodemailer

Media 22.10.2026

CVE-2026-114129

stream-json: FlexAssembler string/RegExp path filters join the full key stack per container start, giving O(depth^2) CPU denial of service

npm

stream-json

Alta 20.10.2026

CVE-2026-111758

markdown-it: Renderizado en tiempo cuadrático de una sola definición de referencia de enlace multilínea con opciones predeterminadas (regresión desde 14.0)

Una vulnerabilidad de denegación de servicio en markdown-it permite a atacantes remotos bloquear el bucle de eventos de Node.js mediante definiciones de referencia de enlace multilínea manipuladas. Las definiciones no cerradas provocan un tiempo de ejecución cuadrático con la configuración predeterminada.

npm

markdown-it

Alta 20.10.2026

CVE-2026-111768

MCP TypeScript SDK: Una solicitud HTTP dentro del límite de tamaño predeterminado podía agotar la memoria del servidor durante la validación

En las versiones afectadas del SDK de TypeScript para MCP, una solicitud HTTP dentro del límite de tamaño predeterminado puede agotar la memoria del servidor durante la validación, lo que permite provocar una denegación de servicio y bloquear el proceso.

npm

@modelcontextprotocol/sdk, @modelcontextprotocol/server

Media 20.10.2026

CVE-2026-113659

ApostropheCMS: Prototype Pollution del lado del cliente en apos.http.parseQuery que deriva en XSS basado en DOM contra usuarios autenticados

Una vulnerabilidad de prototype pollution del lado del cliente en ApostropheCMS permite a atacantes ejecutar código JavaScript arbitrario en la sesión de un usuario autenticado si la víctima abre un enlace manipulado, lo que puede derivar en el compromiso total de la instancia.

npm

apostrophe

Media 20.10.2026

CVE-2026-113660

ApostropheCMS: Omisión de autorización a nivel de objeto en exist-in-locale revela identificadores de borradores restringidos

En ApostropheCMS anterior a 4.33.0, la API exist-in-locale permite a usuarios autenticados con bajos privilegios determinar la existencia de documentos y borradores restringidos y obtener identificadores localizados sin autorización adecuada a nivel de documento.

npm

apostrophe

Baja 20.10.2026

CVE-2026-113657

ApostropheCMS sanitize-html: La evasión de prefijo de espacio de nombres en animación SMIL permite inyección de URI javascript: (XSS)

Una evasión de prefijo de espacio de nombres en sanitize-html permite a animaciones SMIL SVG eludir restricciones de URL, posibilitando ataques de cross-site scripting si se permiten etiquetas SVG.

npm

sanitize-html

Alta 20.10.2026

CVE-2026-113666

ApostropheCMS: Eliminación de miembros del prototipo por exclusión de proyección en @apostrophecms/db-connect causa denegación de servicio

ApostropheCMS permite a usuarios autenticados en adaptadores SQLite o PostgreSQL eliminar métodos de prototipo compartidos mediante proyecciones de exclusión, provocando una denegación de servicio persistente en todo el proceso.

npm

apostrophe, @apostrophecms/db-connect

Media 20.10.2026

CVE-2026-113654

ApostropheCMS sanitize-html: la región de descarte de nonTextTags finaliza antes de tiempo con un cierre implícito, permitiendo procesar el contenido de <noscript>

En sanitize-html antes de la versión 2.18.0, un cierre implícito dentro de elementos como <noscript> finaliza prematuramente la región de descarte, haciendo que su contenido se procese como elementos HTML ordinarios.

npm

sanitize-html

Alta 20.10.2026

CVE-2026-111752

@angular/router: Denegación de servicio mediante coincidencia no válida de rutas de outlets con ruta vacía en Server-Side Rendering (SSR)

Una vulnerabilidad de denegación de servicio en Angular Router afecta al renderizado en el servidor (SSR) en Node.js. Atacantes remotos no autenticados pueden enviar URLs manipuladas con segmentos de salida vacíos para agotar la memoria o la CPU, provocando la caída del proceso y la interrupción del servicio.

npm

@angular/router

Alta 08.10.2026

CVE-2026-107723

fast-jwt : Silent claim-validator bypass when JWT payload is a JSON array

npm

fast-jwt

Media 08.10.2026

CVE-2026-107391

music-metadata: MP4 stsd sample-entry size==0 causes a synchronous infinite loop (DoS) — unreleased regression on master

npm

music-metadata

Media 08.10.2026

CVE-2026-107387

music-metadata: Uncontrolled memory allocation in APEv2 parser

npm

music-metadata

Media 08.10.2026

CVE-2026-107388

music-metadata: ID3v2 tag size not validated before allocation, causing memory exhaustion DoS

npm

music-metadata

Media 08.10.2026

CVE-2026-107389

music-metadata: EBML parser trusts element lengths, allowing memory exhaustion or process abort

npm

music-metadata

Alta 08.10.2026

CVE-2026-107383

MariaDB Connector/Node.js exposes uninitialized process memory through malformed GeoJSON parameters

npm

mariadb

Crítica 08.10.2026

CVE-2026-106445

Handlebars: JavaScript Injection via Own Property Check Bypass

npm

handlebars

Alta 08.10.2026

CVE-2026-107375

JHipster: SQL Injection in the Parameter of JHipster-Generated Reactive (WebFlux + R2DBC) Applicationssort

npm

generator-jhipster

Alta 08.10.2026

CVE-2026-107303

JHipster: Generated Applications Allow Stored XSS via Unrestricted Blob ContentType Opened as Same-Origin Blob

npm

generator-jhipster, react-jhipster

Media 08.10.2026

CVE-2026-107298

msgpack5: Deeply nested input can exhaust the decoder stack

npm

msgpack5

Alta 07.10.2026

CVE-2026-105860

Payload has a tenant authorization bypass in Multi-Tenant Plugin

npm

@payloadcms/plugin-multi-tenant

Media 07.10.2026

CVE-2026-106120

LiquidJS: ownPropertyOnly bypass for inherited array indices in first/last/join/reverse/slice/compact, `.first`/`.last`, negative index, and for-loop iteration

npm

liquidjs