Media
CVE-2026-114129
Archivo de vulnerabilidades
Conoce las vulnerabilidades. Protege tus aplicaciones.
Descubre qué vulnerabilidades afectan a tus tecnologías y cómo solucionarlas. Encuentra explicaciones claras, versiones afectadas y recomendaciones prácticas - desde CMS y plugins hasta bibliotecas de aplicaciones.
Archivo de vulnerabilidades 238
Restablecer filtros
Media
CVE-2026-112954
ApostropheCMS: Unauthenticated publicApiProjection bypass via search and sort query builders in the public REST API
Media
CVE-2026-112957
ApostropheCMS: GET /api/v1/@apostrophecms/page/:id elude la restricción viewRole y expone campos protegidos por viewPermission a usuarios con menos privilegios
En ApostropheCMS antes de la versión 4.34.0, un endpoint REST elude las restricciones de páginas y campos, permitiendo a editores acceder a contenidos reservados a administradores si conocen el identificador.
Media
CVE-2026-110904
ApostropheCMS: Omisión de autorización en la API REST de páginas
Una omisión de autorización en la API REST de páginas de ApostropheCMS permite a visitantes no autenticados y colaboradores con pocos privilegios leer contenido restringido y la estructura del sitio.
Media
CVE-2026-113664
ApostropheCMS import-export tar guard misses './..' because it is a literal '../' substring test
Una validación de subcadena en la extracción tar de ApostropheCMS import-export no bloquea rutas relativas alternas, permitiendo a usuarios autenticados detener el proceso de Node.
Alta
CVE-2026-113666
ApostropheCMS: Eliminación de miembros del prototipo por exclusión de proyección en @apostrophecms/db-connect causa denegación de servicio
ApostropheCMS permite a usuarios autenticados en adaptadores SQLite o PostgreSQL eliminar métodos de prototipo compartidos mediante proyecciones de exclusión, provocando una denegación de servicio persistente en todo el proceso.
Alta
CVE-2026-108259
Tina: Inyección de código mediante un nombre de rama de Git no escapado en el código fuente generado del cliente
Una vulnerabilidad en TinaCMS CLI permite la ejecución arbitraria de JavaScript durante la compilación del proyecto debido a la inserción de un nombre de rama de Git sin escapar en el código cliente generado.
Alta
CVE-2026-61426
PraisonAI: AgentOS defaults to network-exposed no-auth mode, allowing unauthenticated agent invocation and instruction disclosure
Media
CVE-2026-107391
music-metadata: MP4 stsd sample-entry size==0 causes a synchronous infinite loop (DoS) — unreleased regression on master
Alta
CVE-2026-107375
JHipster: SQL Injection in the Parameter of JHipster-Generated Reactive (WebFlux + R2DBC) Applicationssort
Alta
CVE-2026-86540
knowns OS Command Injection via Insecure LSP Binary Path Config in .knowns/config.json
Alta
CVE-2026-104859
@nx/docker: OS command injection in the @nx/docker release pipeline
Media
CVE-2026-104872
Multiple @opentelemetry/instrumentation-* packages expose database username via unconditional db.user span attribute
Crítica
CVE-2026-104848
Tinypool: Prototype Pollution gadget in worker options leads to Remote Code Execution
Media
CVE-2026-104182
stream-json: JSONC parser and verifier re-scan the whole accumulated comment on every input chunk
Media
CVE-2026-104183
stream-json has a prototype pollution issue: Assembler writes this.current[this.key] on plain objects
Crítica
CVE-2026-92955
vm2: Sandbox Escape (NodeVM)
Alta
CVE-2026-104861
probe-image-size: Quadratic-time Denial of Service in the SVG Parser
Alta
CVE-2026-19481
@fastify/busboy vulnerable to Denial of Service via prototype-named multipart part header
Alta
CVE-2026-101906
Axios: ReDoS (O(N²)) in shouldBypassProxy host normalization, reachable via untrusted redirect Location
Media
ghsa-96h4-vgxj-gvm2
Nest: Unbounded memory growth in the NestJS TCP microservice transport
Alta
ghsa-9c5c-9qcx-q35q
@nestjs/platform-fastify: Path-scoped middleware bypass via absolute-form request targets
Alta
CVE-2026-102282
adm-zip extraction preserves SUID/SGID bits from untrusted ZIPs -> local privilege escalation
Alta
ghsa-456v-xq2p-r4cj
code-ollama: `grep_search` Command Injection via Unescaped `$()` Shell Substitution (CWE-78)
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.