8 CVEs publicados el 2026-09-22 · CVSS máximo 8.0/10.
Productos afectados (catálogo NVD)
xmlsoft/libxml2
CVEs de este lote
| CVE | Severidad | CVSS | EPSS | Estado | Descripción |
|---|---|---|---|---|---|
| CVE-2026-86140 | HIGH | 8.0 | 0.2% | Vulnerabilidad crítica en libxml2 anterior a 2.15.4: un desbordamiento de pila en xmlSnprintfElements permite ejecución de código o caída del servicio. | |
| CVE-2026-86138 | MEDIUM | 6.9 | 0.1% | libxml2 antes de 2.15.4 tiene un desbordamiento de entero en xmlDictAddQString que deriva en un heap-based buffer overflow; CVSS 6.9. | |
| CVE-2026-86139 | MEDIUM | 6.9 | 0.1% | libxml2 antes de 2.15.4 tiene un desbordamiento de entero en xmlURIEscapeStr (uri.c); el CSIRT de Chile emitió una alerta por este CVE. | |
| CVE-2026-86142 | MEDIUM | 6.9 | 0.2% | Vulnerabilidad de desbordamiento de búfer en libxml2 anterior a 2.15.4, con CVSS 6.9. El CSIRT de Chile emitió una alerta por su impacto en infraestructura local. | |
| CVE-2026-86143 | MEDIUM | 6.9 | 0.1% | libxml2 antes de 2.15.4 permite longitudes negativas en callbacks de escritura por falta de validación de desbordamiento de enteros, con impacto en múltiples usos. | |
| CVE-2026-86144 | MEDIUM | 5.6 | 0.2% | libxml2 antes de 2.15.4 no propaga parseFlags en xinclude, lo que puede derivar en XXE, SSRF o denegación de servicio si el loader accede a internet. | |
| CVE-2026-86137 | LOW | 2.9 | 0.1% | libxml2 antes de 2.15.4 tiene una lectura fuera de límites en xmlFAParsePosCharGroup (CWE-125); CVSS 2.9 y explotación poco probable según EPSS. | |
| CVE-2026-86141 | LOW | 2.9 | 0.1% | libxml2 antes de 2.15.4 tiene una desreferencia de puntero nulo en xmlRegNewParserCtxt tras un fallo de strdup, con CVSS 2.9 y baja explotación real. |