Media
CVE-2026-114129
Archivo de vulnerabilidades
Conoce las vulnerabilidades. Protege tus aplicaciones.
Descubre qué vulnerabilidades afectan a tus tecnologías y cómo solucionarlas. Encuentra explicaciones claras, versiones afectadas y recomendaciones prácticas - desde CMS y plugins hasta bibliotecas de aplicaciones.
Archivo de vulnerabilidades 420
Restablecer filtros
Alta
CVE-2026-111758
markdown-it: Renderizado en tiempo cuadrático de una sola definición de referencia de enlace multilínea con opciones predeterminadas (regresión desde 14.0)
Una vulnerabilidad de denegación de servicio en markdown-it permite a atacantes remotos bloquear el bucle de eventos de Node.js mediante definiciones de referencia de enlace multilínea manipuladas. Las definiciones no cerradas provocan un tiempo de ejecución cuadrático con la configuración predeterminada.
Alta
CVE-2026-111768
MCP TypeScript SDK: Una solicitud HTTP dentro del límite de tamaño predeterminado podía agotar la memoria del servidor durante la validación
En las versiones afectadas del SDK de TypeScript para MCP, una solicitud HTTP dentro del límite de tamaño predeterminado puede agotar la memoria del servidor durante la validación, lo que permite provocar una denegación de servicio y bloquear el proceso.
Media
CVE-2026-113659
ApostropheCMS: Prototype Pollution del lado del cliente en apos.http.parseQuery que deriva en XSS basado en DOM contra usuarios autenticados
Una vulnerabilidad de prototype pollution del lado del cliente en ApostropheCMS permite a atacantes ejecutar código JavaScript arbitrario en la sesión de un usuario autenticado si la víctima abre un enlace manipulado, lo que puede derivar en el compromiso total de la instancia.
Media
CVE-2026-113660
ApostropheCMS: Omisión de autorización a nivel de objeto en exist-in-locale revela identificadores de borradores restringidos
En ApostropheCMS anterior a 4.33.0, la API exist-in-locale permite a usuarios autenticados con bajos privilegios determinar la existencia de documentos y borradores restringidos y obtener identificadores localizados sin autorización adecuada a nivel de documento.
Baja
CVE-2026-113657
ApostropheCMS sanitize-html: La evasión de prefijo de espacio de nombres en animación SMIL permite inyección de URI javascript: (XSS)
Una evasión de prefijo de espacio de nombres en sanitize-html permite a animaciones SMIL SVG eludir restricciones de URL, posibilitando ataques de cross-site scripting si se permiten etiquetas SVG.
Alta
CVE-2026-113666
ApostropheCMS: Eliminación de miembros del prototipo por exclusión de proyección en @apostrophecms/db-connect causa denegación de servicio
ApostropheCMS permite a usuarios autenticados en adaptadores SQLite o PostgreSQL eliminar métodos de prototipo compartidos mediante proyecciones de exclusión, provocando una denegación de servicio persistente en todo el proceso.
Media
CVE-2026-113654
ApostropheCMS sanitize-html: la región de descarte de nonTextTags finaliza antes de tiempo con un cierre implícito, permitiendo procesar el contenido de <noscript>
En sanitize-html antes de la versión 2.18.0, un cierre implícito dentro de elementos como <noscript> finaliza prematuramente la región de descarte, haciendo que su contenido se procese como elementos HTML ordinarios.
Alta
CVE-2026-111752
@angular/router: Denegación de servicio mediante coincidencia no válida de rutas de outlets con ruta vacía en Server-Side Rendering (SSR)
Una vulnerabilidad de denegación de servicio en Angular Router afecta al renderizado en el servidor (SSR) en Node.js. Atacantes remotos no autenticados pueden enviar URLs manipuladas con segmentos de salida vacíos para agotar la memoria o la CPU, provocando la caída del proceso y la interrupción del servicio.
Alta
CVE-2026-107723
fast-jwt : Silent claim-validator bypass when JWT payload is a JSON array
Media
CVE-2026-107391
music-metadata: MP4 stsd sample-entry size==0 causes a synchronous infinite loop (DoS) — unreleased regression on master
Media
CVE-2026-107387
music-metadata: Uncontrolled memory allocation in APEv2 parser
Media
CVE-2026-107388
music-metadata: ID3v2 tag size not validated before allocation, causing memory exhaustion DoS
Media
CVE-2026-107389
music-metadata: EBML parser trusts element lengths, allowing memory exhaustion or process abort
Alta
CVE-2026-107383
MariaDB Connector/Node.js exposes uninitialized process memory through malformed GeoJSON parameters
Crítica
CVE-2026-106445
Handlebars: JavaScript Injection via Own Property Check Bypass
Alta
CVE-2026-107375
JHipster: SQL Injection in the Parameter of JHipster-Generated Reactive (WebFlux + R2DBC) Applicationssort
Alta
CVE-2026-107303
JHipster: Generated Applications Allow Stored XSS via Unrestricted Blob ContentType Opened as Same-Origin Blob
Media
CVE-2026-107298
msgpack5: Deeply nested input can exhaust the decoder stack
Alta
CVE-2026-105860
Payload has a tenant authorization bypass in Multi-Tenant Plugin
Media
CVE-2026-106120
LiquidJS: ownPropertyOnly bypass for inherited array indices in first/last/join/reverse/slice/compact, `.first`/`.last`, negative index, and for-loop iteration
Alta
CVE-2026-106104
Quasar Framework: Super-linear regex backtracking on User-Agent lets one request stall a Quasar SSR server
Alta
CVE-2026-104845
Seroval: Memory exhaustion via unchecked TypedArray length in JSON deserialization
Media
CVE-2026-100723
vm2: NodeVM zlib Buffers expose pooled host memory across the VM boundary
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.