Conoce las vulnerabilidades. Protege tus aplicaciones.

Alta 20.10.2026

CVE-2026-111758

markdown-it: Renderizado en tiempo cuadrático de una sola definición de referencia de enlace multilínea con opciones predeterminadas (regresión desde 14.0)

Una vulnerabilidad de denegación de servicio en markdown-it permite a atacantes remotos bloquear el bucle de eventos de Node.js mediante definiciones de referencia de enlace multilínea manipuladas. Las definiciones no cerradas provocan un tiempo de ejecución cuadrático con la configuración predeterminada.

npm

markdown-it

Baja 20.10.2026

CVE-2026-111766

markdown-it: Denegación de servicio de tiempo cuadrático en el análisis de HTML en línea con HTML habilitado

Con HTML habilitado, markdown-it puede incurrir en tiempos de análisis cuadráticos ante construcciones HTML repetidas sin cerrar, lo que permite bloquear el bucle de eventos y provocar denegación de servicio.

npm

markdown-it

Media 20.10.2026

CVE-2026-113664

ApostropheCMS import-export tar guard misses './..' because it is a literal '../' substring test

Una validación de subcadena en la extracción tar de ApostropheCMS import-export no bloquea rutas relativas alternas, permitiendo a usuarios autenticados detener el proceso de Node.

npm

@apostrophecms/import-export

Alta 20.10.2026

CVE-2026-111752

@angular/router: Denegación de servicio mediante coincidencia no válida de rutas de outlets con ruta vacía en Server-Side Rendering (SSR)

Una vulnerabilidad de denegación de servicio en Angular Router afecta al renderizado en el servidor (SSR) en Node.js. Atacantes remotos no autenticados pueden enviar URLs manipuladas con segmentos de salida vacíos para agotar la memoria o la CPU, provocando la caída del proceso y la interrupción del servicio.

npm

@angular/router

Media 15.10.2026

CVE-2026-103975

Appium: Zip Slip basado en enlaces simbólicos en la extracción de ZIP de @appium/support

Una vulnerabilidad en la extracción de archivos ZIP en @appium/support permite escribir archivos arbitrarios mediante enlaces simbólicos que apuntan fuera del directorio de destino. Un atacante con un archivo malicioso podría sobrescribir ficheros y potencialmente ejecutar código con los permisos del proceso.

npm

@appium/support

Alta 15.10.2026

CVE-2026-100409

OpenNext Cloudflare: La interceptación de caché puede omitir la protección del middleware en rutas codificadas

En OpenNext Cloudflare con la interceptación de caché activada, una inconsistencia en rutas codificadas permite eludir el middleware de autorización y acceder a respuestas en caché.

npm

@opennextjs/cloudflare

Alta 09.10.2026

CVE-2026-108259

Tina: Inyección de código mediante un nombre de rama de Git no escapado en el código fuente generado del cliente

Una vulnerabilidad en TinaCMS CLI permite la ejecución arbitraria de JavaScript durante la compilación del proyecto debido a la inserción de un nombre de rama de Git sin escapar en el código cliente generado.

npm

@tinacms/cli

Alta 08.10.2026

CVE-2026-107724

fast-jwt treats raw public JWK JSON as an HMAC secret, enabling HS256 token forgery

npm

fast-jwt

Alta 08.10.2026

CVE-2026-61426

PraisonAI: AgentOS defaults to network-exposed no-auth mode, allowing unauthenticated agent invocation and instruction disclosure

npm

praisonai

Media 08.10.2026

CVE-2026-107388

music-metadata: ID3v2 tag size not validated before allocation, causing memory exhaustion DoS

npm

music-metadata

Media 08.10.2026

CVE-2026-106444

Handlebars: JavaScript Injection via Unsafe Inline Embedding of Precompiled Templates

npm

handlebars

Media 07.10.2026

CVE-2026-94544

Next.js: Pending `use cache` fill can leak Draft Mode content into regular responses and persisted pages

npm

next

Media 07.10.2026

CVE-2026-94543

Next.js has cache poisoning of SSG and ISR pages in self-hosted applications

npm

next

Baja 07.10.2026

CVE-2026-94486

Next.js has information disclosure in development server's Model Context Protocol endpoint

npm

next

Media 07.10.2026

CVE-2026-94485

Next.js has information disclosure in App Router metadata image routes via dynamicParams bypass

npm

next

Media 07.10.2026

CVE-2026-94484

Next.js has cache poisoning in SSG/ISR rendering that leads to cross-user content substitution and persistent denial of service

npm

next

Alta 07.10.2026

CVE-2026-94483

Next.js has Server-Side Request Forgery in Image Optimization

npm

next

Media 06.10.2026

CVE-2026-105846

Payload: Untrusted redirect URL parameter exploit

npm

payload, @payloadcms/next

Baja 06.10.2026

CVE-2026-105800

i18next-http-backend incomplete URL validation permits SSRF

npm

i18next-http-backend

Alta 05.10.2026

CVE-2026-102826

simple-git allows command execution through unblocked Git configuration includes

npm

simple-git

Alta 05.10.2026

CVE-2026-102827

simple-git: unsafe-operations plugin bypass via git long-option abbreviation (--receive-p/--exe) -> command execution (residual of CVE-2026-28291)

npm

simple-git

Alta 05.10.2026

CVE-2026-104859

@nx/docker: OS command injection in the @nx/docker release pipeline

npm

@nx/docker

Media 05.10.2026

CVE-2026-104871

Angular SSR: Path Traversal to Sibling Directories in CommonEngine on Windows

npm

@angular/ssr

Media 05.10.2026

CVE-2026-104182

stream-json: JSONC parser and verifier re-scan the whole accumulated comment on every input chunk

npm

stream-json