Vulnerabilidades

n8n es una plataforma de automatización de flujos de trabajo de código abierto. Prior a las versiones 2.10.1, 2.9.3 y 1.123.22, un usuario autenticado con permiso para crear o modificar flujos de trabajo podría explotar una vulnerabilidad en el sandbox de JavaScript Task Runner para ejecutar código arbitrario fuera del límite del sandbox. En instancias que utilizan Task Runners internos (modo de ejecutor predeterminado), esto podría resultar en un compromiso total del host de n8n. En instancias que utilizan Task Runners externos, el atacante podría obtener acceso o impactar otras tareas ejecutadas en el Task Runner. Los Task Runners deben habilitarse usando 'N8N_RUNNERS_ENABLED=true'. El problema ha sido solucionado en las versiones de n8n 2.10.1, 2.9.3 y 1.123.22. Los usuarios deben actualizar a una de estas versiones o posteriores para remediar la vulnerabilidad. Si la actualización no es posible de inmediato, los administradores deben considerar las siguientes mitigaciones temporales. Limitar los permisos de creación y edición de flujos de trabajo solo a usuarios de plena confianza, y/o usar el modo de ejecutor externo ('N8N_RUNNERS_MODE=external') para limitar el radio de impacto. Estas soluciones provisionales no remedian completamente el riesgo y solo deben usarse como medidas de mitigación a corto plazo.

El plugin The Events Calendar para WordPress es vulnerable a la modificación no autorizada de datos y a la pérdida de datos debido a una verificación de capacidad inadecuada en la función 'can_edit' y 'can_delete' en todas las versiones hasta la 6.15.16, inclusive. Esto permite a atacantes autenticados, con acceso de nivel Colaborador y superior, actualizar o enviar a la papelera eventos, organizadores y ubicaciones a través de la API REST.

Vikunja es una plataforma de gestión de tareas de código abierto y autoalojada. Antes de la versión 2.0.0, la función restoreConfig en vikunja/pkg/modules/dump/restore.go del repositorio go-vikunja/vikunja no logra sanear las rutas de archivo dentro del archivo ZIP proporcionado. Un ZIP creado maliciosamente puede eludir el directorio de extracción previsto para sobrescribir archivos arbitrarios en el sistema anfitrión. Además, hemos descubierto que un archivo malformado desencadena un pánico en tiempo de ejecución, bloqueando el proceso inmediatamente después de que la base de datos haya sido borrada permanentemente. La aplicación confía en los metadatos del archivo ZIP. Utiliza el atributo Name de la estructura zip.File directamente en las llamadas a os.OpenFile sin validación, permitiendo que los archivos se escriban fuera del directorio previsto. La lógica de restauración asume una estructura de directorio específica dentro del ZIP. Cuando se le proporciona un ZIP malicioso 'minimalista', la aplicación no logra validar la longitud de las 'slices' derivadas del contenido del archivo. Específicamente, en la línea 154, el código intenta acceder a un índice de len(ms)-2 en una 'slice' insuficientemente poblada, desencadenando un pánico. La versión 2.0.0 corrige el problema.

FreeRDP es una implementación gratuita del Protocolo de Escritorio Remoto. Antes de la versión 3.23.0, la corrección para el uso después de liberación del montón descrita en CVE-2026-24680 está incompleta. Aunque el flujo de ejecución vulnerable referenciado en el aviso existe en la implementación de SDL2, la corrección parece haberse aplicado solo a la ruta de código de SDL3. En la implementación de SDL2, el puntero no se anula después de la liberación. Esto crea una situación donde el aviso sugiere que la vulnerabilidad está completamente resuelta, mientras que las compilaciones o entornos que aún usan SDL2 pueden retener la lógica vulnerable. Una corrección completa está disponible en la versión 3.23.0.

FreeRDP es una implementación gratuita del Protocolo de Escritorio Remoto. Antes de la versión 3.23.0, la función 'Stream_EnsureCapacity' puede crear un bucle de bloqueo infinito. Esto puede afectar a todas las implementaciones de cliente y servidor que utilizan FreeRDP. Para una explotación práctica, esto solo funcionará en sistemas de 32 bits donde la memoria física disponible sea '>= SIZE_MAX'. La versión 3.23.0 contiene un parche. No se conocen soluciones alternativas disponibles.

Vikunja es una plataforma de gestión de tareas de código abierto autoalojada. Antes de la versión 2.0.0, la aplicación permite a los usuarios establecer contraseñas débiles (p. ej., 1234, password) sin aplicar requisitos de fortaleza mínima. Además, las sesiones activas permanecen válidas después de que un usuario cambia su contraseña. Un atacante que compromete una cuenta (mediante fuerza bruta o relleno de credenciales) puede mantener acceso persistente incluso después de que la víctima restablece su contraseña. La versión 2.0.0 contiene una corrección.

Vikunja es una plataforma de gestión de tareas de código abierto y autoalojada. Antes de la versión 2.0.0, la aplicación permite a los usuarios subir archivos SVG como adjuntos de tareas. SVG es un formato basado en XML que soporta la ejecución de JavaScript a través de elementos como etiquetas

Storybook es un taller de frontend para construir componentes de interfaz de usuario y páginas de forma aislada. Anteriormente a las versiones 7.6.23, 8.6.17, 9.1.19 y 10.2.10, la funcionalidad WebSocket en el servidor de desarrollo de Storybook, utilizada para crear y actualizar historias, es vulnerable a secuestro de WebSocket. Esta vulnerabilidad solo afecta al servidor de desarrollo de Storybook; las compilaciones de producción no se ven afectadas. La explotación requiere que un desarrollador visite un sitio web malicioso mientras su servidor de desarrollo local de Storybook está en ejecución. Debido a que la conexión WebSocket no valida el origen de las conexiones entrantes, un sitio malicioso puede enviar silenciosamente mensajes WebSocket a la instancia local sin ninguna interacción adicional del usuario. Si el servidor de desarrollo de Storybook se expone intencionalmente al público (por ejemplo, para revisiones de diseño o demostraciones a partes interesadas) el riesgo es mayor, ya que no se requiere la visita a un sitio malicioso. Cualquier atacante no autenticado puede enviarle mensajes WebSocket directamente. La vulnerabilidad afecta a los manejadores de mensajes WebSocket para crear y guardar historias. Ambos son vulnerables a la inyección a través de entrada no saneada en el campo componentFilePath, lo que puede ser explotado para lograr XSS persistente o Ejecución Remota de Código (RCE). Las versiones 7.6.23, 8.6.17, 9.1.19 y 10.2.10 contienen una solución para el problema.

LORIS (Longitudinal Online Research and Imaging System) es una aplicación web autoalojada que proporciona gestión de datos y proyectos para la investigación en neuroimagen. Antes de las versiones 26.0.5, 27.0.2 y 28.0.0, un usuario autenticado con privilegios suficientes puede explotar una vulnerabilidad de salto de ruta para cargar un archivo malicioso en una ubicación arbitraria en el servidor. Una vez cargado, el archivo puede usarse para lograr la ejecución remota de código (RCE). Un atacante debe estar autenticado y tener los permisos apropiados para explotar este problema. Si el servidor está configurado como de solo lectura, la ejecución remota de código (RCE) no es posible; sin embargo, la carga del archivo malicioso aún puede ser factible. Este problema está solucionado en LORIS v26.0.5 y superiores, v27.0.2 y superiores, y v28.0.0 y superiores. Como solución alternativa, los administradores de LORIS pueden deshabilitar el módulo de medios si no se está utilizando.

LORIS (Sistema Longitudinal de Investigación y Obtención de Imágenes en Línea) es una aplicación web autoalojada que proporciona gestión de datos y proyectos para la investigación en neuroimagen. A partir de la versión 24.0.0 y antes de las versiones 26.0.5, 27.0.2 y 28.0.0, un usuario autenticado con la autorización apropiada puede leer archivos de configuración en el servidor explotando una vulnerabilidad de salto de ruta. Algunos de estos archivos contienen credenciales codificadas. La vulnerabilidad permite a un atacante leer archivos de configuración que contienen credenciales codificadas. El atacante podría entonces autenticarse en la base de datos u otros servicios si esas credenciales se reutilizan. El atacante debe estar autenticado y tener los permisos requeridos. Sin embargo, la vulnerabilidad es fácil de explotar y el código fuente de la aplicación es público. Este problema está solucionado en LORIS v26.0.5 y v27.0.2 y superiores, y v28.0.0 y superiores. Como solución alternativa, el electrophysiogy_browser en LORIS puede ser deshabilitado por un administrador usando el gestor de módulos.

FreeRDP es una implementación gratuita del Protocolo de Escritorio Remoto. Antes de la versión 3.23.0, 'rail_window_free' desreferencia un puntero 'xfAppWindow' liberado durante la limpieza de 'HashTable_Free' porque 'xf_rail_window_common' llama a 'free(appWindow)' en caso de fallo en la asignación del título sin antes eliminar la entrada de la tabla hash 'railWindows', dejando un puntero colgante que se libera de nuevo al desconectarse. La versión 3.23.0 corrige la vulnerabilidad.

*** Pendiente de traducción *** Vikunja is an open-source self-hosted task management platform. Prior to version 2.0.0, a reflected HTML injection vulnerability exists in the Projects module where the `filter` URL parameter is rendered into the DOM without output encoding when the user clicks "Filter." While `` and `` are blocked, ``, ``, and formatting tags (``, ``, ``) render without restriction — enabling SVG-based phishing buttons, external redirect links, and content spoofing within the trusted application origin. Version 2.0.0 fixes this issue.