#vulnerability

Análisis a fondo

Decodificar una imagen FlashPix manipulada en Pillow 12.3.0 o anterior con olefile instalado permite al atacante ejecutar comandos; Pillow 13.0.0 corrige CVE-2026-112398.

Análisis a fondo

Collabora califica CVE-2026-110447 como crítico, CVSS v4.0 9.2: un atacante no autenticado puede ejecutar comandos del sistema operativo como el usuario del servidor web mediante proxy.php de la aplicación Collabora Online Built-in CODE Server (richdocumentscode) para Nextcloud, en versiones anteriores a 26.4.303, cuando el servidor CODE integrado no está en ejecución. Corregido en la versión 26.4.303 de la aplicación. CISA lo añadió al catálogo KEV el 23 de octubre de 2026 y los administradores han comunicado ataques desde mediados de septiembre de 2026.

Análisis a fondo

Sentry califica CVE-2026-114139 como crítico, CVSS v4.0 9.1: el SDK @sentry/nextjs omite el middleware de la aplicación para todas las rutas bajo un tunnelRoute configurado en compilaciones webpack, mientras que la reescritura del túnel solo atiende la ruta exacta. Así, una solicitud no autenticada puede alcanzar una ruta bajo el túnel sin autorización del middleware. Afecta a @sentry/nextjs 9.36.0 a 9.47.1, 10.x anterior a 10.75.2 y versiones preliminares de 11.0.0 anteriores a 11.0.0-rc.1. Corregido en 9.47.2, 10.75.2 y 11.0.0-rc.1; no se conoce explotación en ataques reales.

Análisis a fondo

CVE-2026-115889 es un escape crítico del sandbox de Wasmtime: Cranelift empaqueta índices en campos de 24 bits que un módulo manipulado desborda. Corregido en 36.0.19 y 43.0.0.

Análisis a fondo

Vercel clasifica GHSA-2464-fhr4-w9xw como crítica, con CVSS v4.0 9.5: un atacante sin autenticación puede ejecutar código en un servidor Next.js 10.0.0–15.5.27 o 16.0.0–16.4.0 cuya API de optimización de imágenes procese SVG en Linux basado en glibc. El fallo es un uso de memoria después de liberarla en librsvg (CVE-2026-96889), incluida en los binarios precompilados de sharp. Next.js 15.5.28 y 16.4.1 lo corrigen en Node.js 20.9.0 o posterior al resolver sharp 0.35.5, que incluye librsvg 2.63.2 corregida.

Análisis a fondo

GHSA-673q-mjm6-r5xr está calificado como crítico, CVSS v4.0 9.5, en GitHub Advisory Database: un atacante no autenticado puede ejecutar código en un servidor Next.js 16 que utilice App Router con Cache Components y tenga una función use cache que devuelva varios arrays tipados. La revisión de la base de datos clasifica el fallo como deserialización de datos no confiables (CWE-502) en el protocolo de transporte React Server Components incluido en Next.js. Corregido en Next.js 16.4.1, sin medidas provisionales disponibles.

Análisis a fondo

DOMPurify 3.4.4–3.4.16 permite que expresiones ${...} divididas sobrevivan a SAFE_FOR_TEMPLATES dentro de raíces shadow adjuntas (crítico, CVSS v4.0 9.2). Actualice a 3.4.17.

Seguridad

Análisis técnico de CVE-2026-42208, una vulnerabilidad crítica de inyección SQL sin autenticación (CVSS 9.3) en la API del proxy de LiteLLM. Una parametrización incorrecta del token Bearer dentro de consultas SQL sin procesar, usadas para combinaciones complejas de varias tablas, permite ataques ciegos de temporización basados en condiciones booleanas, lo que posibilita que atacantes sin autenticación exfiltren datos sensibles de la base de datos, incluidas claves de API virtuales, información de usuarios y registros de gasto de LLM.

Seguridad

Análisis técnico de DirtyFrag, un par de vulnerabilidades de escalada de privilegios local en el kernel de Linux (CVE-2026-43284 y CVE-2026-43500, CVSS 7.8 ALTA) que permiten a cualquier usuario local sin privilegios obtener root en la mayoría de las distribuciones Linux principales. Al encadenar un fallo en la ruta de descifrado en el mismo lugar de xfrm-ESP y de RxRPC, ambos basados en la misma primitiva de escritura en la caché de páginas que Dirty Pipe y Copy Fail, el exploit sobrescribe páginas de caché de solo lectura sin condición de carrera, logrando una fiabilidad cercana al 100%.

Seguridad

Un análisis en profundidad de una vulnerabilidad crítica de Server-Side Request Forgery (SSRF) en el endpoint de carga de archivos de Chatwoot (≤ v4.12.1). El endpoint /api/v1/accounts/:id/upload acepta un parámetro external_url validado únicamente mediante una comprobación del esquema, lo que permite a cualquier agente autenticado forzar al servidor a solicitar URL internas arbitrarias. El cuerpo completo de la respuesta se devuelve en banda a través de blobs de ActiveStorage, convirtiendo el endpoint de carga en un proxy de lectura completa. La explotación en vivo en un droplet de DigitalOcean confirmó la exfiltración en banda de metadatos de la nube, incluidos el ID del droplet, el nombre de host, las claves públicas SSH y los paquetes completos de metadatos. Corregido en v4.13.0.