Conoce las vulnerabilidades. Protege tus aplicaciones.

Media 20.10.2026

CVE-2026-113659

ApostropheCMS: Prototype Pollution del lado del cliente en apos.http.parseQuery que deriva en XSS basado en DOM contra usuarios autenticados

Una vulnerabilidad de prototype pollution del lado del cliente en ApostropheCMS permite a atacantes ejecutar código JavaScript arbitrario en la sesión de un usuario autenticado si la víctima abre un enlace manipulado, lo que puede derivar en el compromiso total de la instancia.

npm

apostrophe

Media 20.10.2026

CVE-2026-113662

ApostropheCMS import-export: Inyección NoSQL mediante el valor update-key permite hacer coincidir y sobrescribir un documento no identificado

Una inyección NoSQL en el módulo import-export de ApostropheCMS permite a usuarios autenticados hacer coincidir y sobrescribir documentos no deseados mediante valores de clave manipulados.

npm

@apostrophecms/import-export

Alta 09.10.2026

CVE-2026-108259

Tina: Inyección de código mediante un nombre de rama de Git no escapado en el código fuente generado del cliente

Una vulnerabilidad en TinaCMS CLI permite la ejecución arbitraria de JavaScript durante la compilación del proyecto debido a la inserción de un nombre de rama de Git sin escapar en el código cliente generado.

npm

@tinacms/cli

Alta 09.10.2026

CVE-2026-108260

@tinacms/web-components: `tina-markdown` escribe URLs de enlaces de texto enriquecido en `href` sin validar el esquema, permitiendo XSS almacenado

Una vulnerabilidad de XSS almacenado en @tinacms/web-components permite a usuarios con permisos de edición ejecutar scripts maliciosos debido a la falta de validación del esquema de URL en enlaces de texto enriquecido.

npm

@tinacms/web-components

Media 08.10.2026

CVE-2026-107719

fast-jwt: Verifier cache accepts expired JWTs without iat.

npm

fast-jwt

Alta 08.10.2026

CVE-2026-107720

fast-jwt: createVerifier accepts unsigned JWTs when key is '' or null and algorithms is explicitly set

npm

fast-jwt

Crítica 08.10.2026

CVE-2026-107722

fast-jwt: Incomplete patch of CVE-2026-34950: Non-whitespace key-prefix re-enables RSA→HS256 algorithm confusion

npm

fast-jwt

Media 08.10.2026

CVE-2026-107721

fast-jwt clockTolerance: Infinity silently bypasses both exp and nbf validation (and persists in the verifier cache)

npm

fast-jwt

Alta 08.10.2026

CVE-2026-107723

fast-jwt : Silent claim-validator bypass when JWT payload is a JSON array

npm

fast-jwt

Alta 08.10.2026

CVE-2026-107724

fast-jwt treats raw public JWK JSON as an HMAC secret, enabling HS256 token forgery

npm

fast-jwt

Media 08.10.2026

CVE-2026-107388

music-metadata: ID3v2 tag size not validated before allocation, causing memory exhaustion DoS

npm

music-metadata

Crítica 07.10.2026

CVE-2026-105863

Payload authentication token field handling issue

npm

payload

Media 07.10.2026

CVE-2026-106460

Backstage: Explicit negative email verification can be ignored during shared OAuth profile normalization

npm

@backstage/plugin-auth-node

Media 07.10.2026

CVE-2026-106506

Backstage has improper input validation in scaffolder task list ordering

npm

@backstage/plugin-scaffolder-backend

Crítica 07.10.2026

CVE-2026-73487

Flowise Prompt Injection to RCE and SSRF via CSV/Airtable Agent Python Validator Bypass

npm

flowise, flowise-components

Crítica 05.10.2026

CVE-2026-100721

vm2: NodeVM custom resolution bypasses external path boundaries

npm

vm2

Alta 05.10.2026

CVE-2026-100722

vm2: Host Promise rejection from an exposed constructor can terminate the vm2 host process

npm

vm2

Media 05.10.2026

CVE-2026-100723

vm2: NodeVM zlib Buffers expose pooled host memory across the VM boundary

npm

vm2

Alta 05.10.2026

CVE-2026-92959

vm2: `allowAsync: false` can be bypassed through Promise thenable assimilation in VM and NodeVM

npm

vm2

Crítica 05.10.2026

CVE-2026-92953

vm2: Default VM can mutate host TypedArray and ArrayBuffer intrinsics after the host-prototype pollution fix

npm

vm2

Alta 05.10.2026

CVE-2026-92942

vm2: timeout Option Bypass via FinalizationRegistry Cleanup Callback (Unbounded Host Event-Loop Block)

npm

vm2

Crítica 01.10.2026

CVE-2026-92944

vm2 sandbox escape on Node.js 26 through a stale PromiseThenLookupChain protector

npm

vm2

Alta 30.09.2026

CVE-2026-101905

Axios: Node HTTP adapter prototype-pollution gadget allows request socket hijack via inherited createConnection

npm

axios

Alta 30.09.2026

CVE-2026-101906

Axios: ReDoS (O(N²)) in shouldBypassProxy host normalization, reachable via untrusted redirect Location

npm

axios