Conoce las vulnerabilidades. Protege tus aplicaciones.

Vitest: La evasión de salto de directorio con barra invertida en Windows elude la corrección de lista de permitidos de @vitest/mocker

Una vulnerabilidad de salto de directorio en Windows permite a clientes con acceso a un servidor Vite eludir la lista de redirecciones permitidas mediante barras invertidas. Esto permite leer archivos fuera de la raíz de Vite a los que la cuenta del proceso del servidor tenga acceso.

OpenClaw: El descubrimiento CDP del navegador podría aceptar URLs de WebSocket bloqueadas

El descubrimiento CDP de OpenClaw puede aceptar URLs de WebSocket bloqueadas, lo que permite a invocadores de menor confianza alcanzar destinos de red que deberían estar restringidos por directivas.

Vite: Los primeros 4 bytes de archivos fuera de la configuración `server.fs` quedan expuestos por `?vite-wasm-instance`

En los servidores de desarrollo de Vite que se ejecutan en Node.js o Deno, peticiones manipuladas pueden exponer los primeros bytes de archivos ubicados fuera de los límites de acceso configurados mediante errores del analizador WebAssembly.

Vite: Se podrían servir archivos fuera de `server.fs.allow` cuando las rutas del proyecto coinciden con rutas del sistema en sistemas no Windows

En Vite en sistemas que no son Windows, se pueden servir archivos fuera de la raíz del proyecto si una ruta importada coincide con una ruta absoluta del sistema y el servidor de desarrollo está expuesto a la red. La actualización a una versión corregida soluciona el problema.

@angular/common: Fuga del token XSRF por discrepancia en el análisis de URL en el cliente HTTP de Angular (Corrección incompleta para CVE-2025-66035)

Una discrepancia en el procesamiento de URL en el cliente HTTP de Angular puede provocar la fuga de tokens XSRF hacia dominios externos. Los atacantes pueden aprovechar estos tokens para realizar acciones no autorizadas en la sesión de un usuario autenticado.

launch-editor: escapeCmdArgs() omite el escape de % en Windows

En Windows, launch-editor no escapa adecuadamente el carácter de porcentaje, lo que permite la ejecución de comandos si se colocan archivos manipulados y se alteran variables de entorno o flujos NTFS.

ApostropheCMS: El público general puede acceder a objetos @apostrophecms/user mediante relaciones

En ApostropheCMS, la falta de aplicación de viewRole al público general permite acceder a objetos de usuario mediante relaciones si las plantillas exponen la información de forma indebida.

Quasar Framework: App Vite SSG page output paths can escape the configured distribution directory

Quasar Framework: App Vite build cleanup can recursively remove unsafe configured output directories

md-editor-v3: XSS via fenced-code language rendering bypass