Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

• Vulnerabilidad en gatsby-transformer-remark (CVE-2023-22491)
  Severidad: ALTA
  Fecha de publicación: 13/01/2023
  Fecha de última actualización: 29/09/2026
  Gatsby es un framework gratuito y de código abierto basado en React que ayuda a los desarrolladores a crear sitios web y aplicaciones. El complemento gatsby-transformer-remark anterior a las versiones 5.25.1 y 6.3.2 pasa la entrada al paquete npm `gray-matter`, que es vulnerable a la inyección de JavaScript en su configuración predeterminada, a menos que la entrada esté desinfectada. La vulnerabilidad está presente en gatsby-transformer-remark cuando se pasa entrada en modo de datos (consultando nodos MarkdownRemark a través de GraphQL). El JavaScript inyectado se ejecuta en el contexto del servidor de compilación. Para explotar esta vulnerabilidad, la entrada no confiable/no desinfectada tendría que obtenerse o agregarse a un archivo procesado por gatsby-transformer-remark. Se introdujo un parche en `gatsby-transformer-remark@5.25.1` y `gatsby-transformer-remark@6.3.2` que mitiga el problema al deshabilitar el motor JavaScript Frontmatter de `materia gris`. Como workaround, si se debe utilizar una versión anterior de `gatsby-transformer-remark`, la entrada pasada al complemento debe desinfectarse antes del procesamiento. Se recomienda que los proyectos actualicen a la última versión principal de todos los complementos de Gatsby para garantizar que las últimas actualizaciones de seguridad y correcciones de errores se reciban de manera oportuna.
  
• Vulnerabilidad en el paquete gatsby-plugin-mdx (CVE-2022-25863)
  Severidad: ALTA
  Fecha de publicación: 10/06/2022
  Fecha de última actualización: 29/09/2026
  El paquete gatsby-plugin-mdx versiones anteriores a 2.14.1, a partir de la 3.0.0 y anteriores a 3.15.2, es vulnerable a una Deserialización de Datos No Confiables cuando es pasada la entrada mediante el paquete gray-matter, debido a sus configuraciones por defecto que carecen de saneo de entrada. La explotación de esta vulnerabilidad es posible cuando es pasada la entrada tanto en modo webpack (archivos MDX en src/pages o archivo MDX importado como componente en código frontend / React) como en modo datos (consulta de nodos MDX por medio de GraphQL). Mitigación: Si es debido usar una versión anterior de gatsby-plugin-mdx, la entrada que es pasada al plugin debe ser saneada antes del procesamiento