Vulnerabilidad en Wasmtime (CVE-2026-27572)

Gravedad CVSS v4.0:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

24/02/2026

Última modificación:

25/02/2026

Descripción

Wasmtime es un entorno de ejecución para WebAssembly. Antes de las versiones 24.0.6, 36.0.6, 4.0.04, 41.0.4 y 42.0.0, la implementación de Wasmtime del recurso `wasi:http/types.fields` es susceptible a panics cuando se añaden demasiados campos al conjunto de cabeceras. La implementación de Wasmtime en el crate `wasmtime-wasi-http` está respaldada por una estructura de datos que entra en pánico cuando alcanza una capacidad excesiva. Esta condición no se manejó convenientemente en Wasmtime. Entrar en pánico en una implementación de WASI es un vector de denegación de servicio para los integradores y se trata como una vulnerabilidad de seguridad en Wasmtime. Wasmtime 24.0.6, 36.0.6, 40.0.4, 41.0.4 y 42.0.0 aplican un parche a esta vulnerabilidad y devuelven una trampa al invitado en lugar de entrar en pánico. No hay soluciones alternativas conocidas en este momento. Se anima a los integradores a actualizar a una versión de Wasmtime con parche.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:P/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H CVSS v4.0 Severidad y Métricas:

Puntuación base: 6.90 MEDIA
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:P/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Present
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Passsive
Confidentiality (VC): Ninguno
Integrity (VI): Ninguno
Availability (VA): Alto
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Alto

Puntuación base 4.0

6.90

Gravedad 4.0

MEDIA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

7.50

Gravedad 3.x

ALTA

Productos y versiones vulnerables

CPE	Desde	Hasta
cpe:2.3:a:bytecodealliance:wasmtime::::::rust::*		24.0.6 (excluyendo)
cpe:2.3:a:bytecodealliance:wasmtime::::::rust::*	25.0.0 (incluyendo)	36.0.6 (excluyendo)
cpe:2.3:a:bytecodealliance:wasmtime::::::rust::*	37.0.0 (incluyendo)	40.0.4 (excluyendo)
cpe:2.3:a:bytecodealliance:wasmtime::::::rust::*	41.0.0 (incluyendo)	41.0.4 (excluyendo)

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página

Vulnerabilidad en Wasmtime (CVE-2026-27572)

Descripción

Impacto

Productos y versiones vulnerables

Referencias a soluciones, herramientas e información