Vulnerabilidad en ext4 del kernel Linux: con "-o dax=always", archivos cifrados nuevos podían escribirse sin cifrado. CSIRT de Chile emitió alerta crítica.
Vulnerabilidad en el sistema de archivos nilfs2 del kernel Linux: parámetros manipulados en el ioctl de recolección de basura provocan corrupción de listas y doble procesamiento de buffers.
Vulnerabilidad en ext4 del kernel Linux: un bucle de reintento en la caché de xattrs puede colgar tareas y bloquear rmdir en sistemas con corrupción de disco.
Vulnerabilidad en el kernel Linux: el scrub de XFS puede entrar en livelock si una lista de inodos no enlazados contiene un ciclo. CSIRT de Chile emitió alerta.
Vulnerabilidad en el driver NFC st21nfca del kernel Linux permite a un atacante cercano leer memoria del kernel o causar una denegación de servicio.
El kernel Linux corrigió un use-after-free en c67x00_add_iso_urb() del driver USB c67x00 que puede provocar acceso a memoria liberada al fallar la creación de un TD.
Vulnerabilidad en ALSA usb-audio del kernel Linux: un resume de sistema fallido deja la tarjeta de sonido inutilizable hasta reiniciar, con accesos de control bloqueados.
Vulnerabilidad en el kernel de Linux permite a un dispositivo USB malicioso provocar una escritura fuera de límites en el controlador ALSA usb-audio. CSIRT de Chile emitió alerta.
El kernel de Linux corrigió una condición de carrera en usb_wakeup_notification() que podía derivar en uso de memoria liberada; el CSIRT de Chile emitió una alerta.
Vulnerabilidad en el driver crypto mxs-dcp del kernel Linux: sg_dma_len() se usa sin mapear el scatterlist, lo que puede cifrar o descifrar mal los datos.
Vulnerabilidad en el driver crypto qce del kernel Linux: el buffer AAD se asigna más pequeño de lo necesario y el hardware QCE lee fuera de rango.
El kernel Linux corrigió una vulnerabilidad use-after-free y un buffer overread en el driver crypto sun8i-ss, cuyo soporte crypto_rng fue eliminado por obsoleto.
El kernel Linux corrige un use-after-free en el driver crypto sun8i-ce al eliminar la interfaz crypto_rng, obsoleta y redundante con hwrng.
Vulnerabilidad en el kernel Linux: virtio_crypto no limita la longitud reportada por el dispositivo, causando una lectura fuera de límites en el heap del kernel.
Vulnerabilidad en el kernel de Linux: seg6 no limpia el bloque de control IPv4 al desencapsular IPIP, permitiendo un desbordamiento de memoria fuera de límites.
Vulnerabilidad en net/packet del kernel Linux: la liberación de vmalloc del TX_RING podía ocurrir antes de que terminaran los skbs, con riesgo de corrupción de memoria.
Vulnerabilidad en el kernel de Linux: el disector de flujo malinterpreta tramas VLAN en tap_get_user_xdp(), dejando transport_header sin inicializar.
El kernel de Linux corrigió una vulnerabilidad en el driver amdgpu que permite desbordamiento al procesar mensajes UVD con referencias h265 inválidas.
Vulnerabilidad en el codec ASoC lpass-wsa-macro del kernel Linux: los controles de audio fallan con -EINVAL en kernels de 64 bits con SND_CTL_DEBUG.
Vulnerabilidad en el kernel Linux: security_get_classes() en SELinux no rechaza valores de clase no definidos, dejando un NULL que puede provocar fallos.
El kernel Linux corrigió una vulnerabilidad en SELinux donde políticas con booleanos mal definidos dejan entradas NULL que luego se desreferencian, con alerta del CSIRT chileno.
Vulnerabilidad de inyección de comandos en Azure HDInsights (CVE-2026-81349) permite a un atacante autorizado escalar privilegios por red. CVSS 7.2.
Vulnerabilidad crítica en Microsoft Windows Codecs Library (CVE-2026-81352) permite a un atacante ejecutar código de forma remota; el CSIRT de Chile emitió una alerta.
Vulnerabilidad crítica en Microsoft Windows Codecs Library (HEIF Image Extension) permite a un atacante ejecutar código localmente; el CSIRT de Chile emitió una alerta.
Vulnerabilidad de desbordamiento de búfer en el driver Miniport de VHD de Microsoft permite a un atacante autorizado ejecutar código localmente. CVSS 7.5.
Vulnerabilidad de inyección de comandos en GitHub Copilot y Visual Studio Code permite a un atacante no autenticado divulgar información por red.
CVE-2026-81385: deserialización de datos no confiables en Microsoft Publisher permite a un atacante ejecutar código por red. CVSS 8.8 y alerta del CSIRT de Chile.
4 CVEs del mismo lote.
Vulnerabilidad en gdk-pixbuf (CVE-2026-81893) permite escritura fuera de límites al decodificar JPEG con perfiles ICC manipulados, con CVSS 4.7.
Vulnerabilidad crítica en Microsoft Graphics Component permite a un atacante no autenticado ejecutar código de forma remota. CVSS 8.8 y alerta del CSIRT de Chile.
gitoxide gix-packetline antes de 0.21.5 sufre un panic por índice fuera de rango al procesar paquetes side-band vacíos, permitiendo a un servidor Git malicioso abortar el cliente.
2 CVEs del mismo lote.
Vulnerabilidad de path traversal en las crates Rust gix y gix-validate de gitoxide permite a un atacante leer configuración arbitraria de repositorios git, incluidas credenciales embebidas.
gitoxide antes de 0.69.0 tiene indexación sin verificar y asignación sin límite en gix-pack; datos maliciosos en clone o fetch causan panic o cierre por OOM.
Una falla de escritura fuera de límites en libsolv, usada por dnf, yum y zypper, puede provocar la caída de estas herramientas al procesar un archivo .solv corrupto.
El CVE-2026-82455 fue rechazado porque RubyGems determinó que el comportamiento de symlink al extraer gemas no es una vulnerabilidad de seguridad.
Sudo hasta 1.9.17p2 no aplica las políticas de intercept al syscall execveat, permitiendo ejecutar programas denegados y evadir el registro de auditoría.
Fallo use-after-free en la función handleClientsBlockedOnKey de Valkey 9.1.0 permite ataque remoto de alta complejidad; ya existe parche y exploit público.
2 CVEs del mismo lote.
Fallo en @xmldom/xmldom permite inyectar atributos maliciosos, como manejadores de eventos, en XML serializado que luego consume el navegador.
Falla de inyección XML (CWE-91) en @xmldom/xmldom permite inyectar atributos o etiquetas en XML serializado y derivar en XSS; corregida en 0.8.14 y 0.9.11.
Falla en @xmldom/xmldom permite inyectar marcado XML vía DocumentType.name sin validar; corregida en 0.8.15 y 0.9.12, sin parche para xmldom legacy.
Vulnerabilidad en xmldom y @xmldom/xmldom permite generar XML controlado por el atacante al serializar EntityReference; ya hay versiones parcheadas.
Vulnerabilidad en @xmldom/xmldom permite que parseFromString() acepte etiquetas de cierre malformadas y descarte contenido, evadiendo validaciones de well-formedness.
Vulnerabilidad en @xmldom/xmldom y xmldom: parsear XML con muchos atributos distintos consume tiempo cuadrático y puede congelar el event loop de Node.js.
Dos rutas de parsing cuadrático en @xmldom/xmldom permiten denegación de servicio; el CSIRT de Chile emitió una alerta por este CVE.
Vulnerabilidad en @xmldom/xmldom permite agotar el heap con XML pequeño y comprimible; CSIRT de Chile emitió alerta crítica.
@xmldom/xmldom no valida el target en createProcessingInstruction, permitiendo inyectar estructura XML al serializar. Corregido en 0.8.15 y 0.9.12.
Vulnerabilidad en @xmldom/xmldom (0.7.0 a 0.8.14) permite agotar la CPU de Node.js con una entrada XML pequeña y sin autenticación. Corregido en 0.8.15.
Vulnerabilidad crítica en Azure Active Directory B2C permite a un atacante no autenticado elevar privilegios por red. El CSIRT de Chile emitió alerta.