Alta
CVE-2026-49987
Archivo de vulnerabilidades
Conoce las vulnerabilidades. Protege tus aplicaciones.
Descubre qué vulnerabilidades afectan a tus tecnologías y cómo solucionarlas. Encuentra explicaciones claras, versiones afectadas y recomendaciones prácticas - desde CMS y plugins hasta bibliotecas de aplicaciones.
Archivo de vulnerabilidades 71.534
Alta
CVE-2026-49981
Twig: Sandbox filter, tag and function allow-list bypass when sandbox state changes between renders for a cached `Template`
Baja
ghsa-hwmc-r6mf-jh83
Schema.org has cross-site scripting (XSS) via script break-out in toScript() output
Alta
CVE-2026-54428
Apache HttpComponents Core: HPackDecoder Unlimited Header List Size Before SETTINGS ACK
Alta
CVE-2026-54399
Apache HttpComponents Core HTTP/1 header parsing can cause memory-exhaustion denial of service
Alta
CVE-2026-49864
wetty vulnerable to DOM XSS via file-download filename
Media
ghsa-2wwr-9x6f-88gp
EasyAdminBundle has path traversal and reflected XSS in Flag and Icon Twig components
Alta
CVE-2026-49857
auth-fetch-mcp has SSRF Protection Bypass via IPv4-mapped IPv6 Loopback
Media
CVE-2026-49856
@jshookmcp/jshook: ICMP probe and traceroute skip local-network SSRF authorization
Alta
CVE-2026-46487
GeoNetwork has ACL bypass on Elasticsearch search when request body omits query field
Alta
CVE-2026-39379
GeoNetwork has reflected XSS through client-side template injection
Alta
CVE-2026-5821
Image Optimizer <= 1.7.4 - Authenticated (Author+) Arbitrary File Deletion via Post Meta Field Injection
Sin evaluar
CVE-2026-58591
drupal/colorbox - SA-CONTRIB-2026-069
Sin evaluar
CVE-2026-58590
drupal/flowdrop - SA-CONTRIB-2026-068
Sin evaluar
CVE-2026-58589
drupal/flowdrop - SA-CONTRIB-2026-067
Sin evaluar
CVE-2026-58588
drupal/canvas - SA-CONTRIB-2026-066
Media
CVE-2026-10089
Insert Pages <= 3.11.4 - Authenticated (Author+) Stored Cross-Site Scripting via Custom Field Keys (Meta Key Names)
Sin evaluar
CVE-2026-58587
drupal/canvas - SA-CONTRIB-2026-065
Media
CVE-2026-11592
Email Subscribers & Newsletters <= 5.9.27 - Missing Authorization to Authenticated (Contributor+) Settings Modification via ig_es_handle_request AJAX Action
Alta
CVE-2026-57516
Ray: Arbitrary code execution via ray.data.read_webdataset default decoder: pickle.loads(value) and torch.load(weights_only=False)
Media
CVE-2026-13704
GiveWP <= 4.16.1 - Authenticated (Give Worker+) Stored Cross-Site Scripting via Sequioa Form
Alta
CVE-2026-14249
Request a Quote Form Plugin <= 2.5.5 - Unauthenticated Code Injection via 'path' Parameter
Media
CVE-2026-13357
Houzez Property Feed <= 2.5.46 - Authenticated (Administrator+) SQL Injection via 'orderby' Parameter
Crítica
CVE-2026-15158
Blocksy Companion <= 2.1.46 - Subida no autenticada de archivos arbitrarios a través del parámetro 'blc-review-images[]'
Una vulnerabilidad crítica en Blocksy Companion permite a atacantes no autenticados subir archivos arbitrarios, lo que puede provocar la ejecución remota de código si la versión premium tiene activas extensiones específicas.
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.