Más de 1.500 paquetes quedaron expuestos a publicación no autorizada por una vulnerabilidad en el sistema de confianza del registro
Check Point identificó vulnerabilidades que permitían a usuarios sin privilegios modificar configuración en tiempo real, extraer credenciales y ejecutar código remoto en uno de los gateways LLM más utilizados del ecosistema.
La vulnerabilidad SlugFest permitía heredar permisos de publicación reclamando nombres de repositorio abandonados en GitHub — npm parcheó el 2 de octubre con expiración de 48 horas para configuraciones no validadas
La vulnerabilidad CVE-2026-108555 afecta instancias auto-hospedadas del servicio de intercambio de archivos y expone un patrón de confianza ciega en headers HTTP.
Una falla crítica en una herramienta de generación de clientes API permite ejecutar JavaScript arbitrario desde documentos OpenAPI maliciosos, comprometiendo pipelines de desarrollo en todo el stack.
Una falla de diseño en el middleware permite agotar recursos con payloads de hasta 500 MB antes de que el sistema valide credenciales o listas blancas.
Una confusión entre segundos y milisegundos en el código de throttling dejó tres endpoints de autenticación sin protección efectiva contra ataques automatizados.
Una falla en la syscall de desinicialización de dispositivos permite a threads no privilegiados ejecutar código arbitrario en modo supervisor, rompiendo por completo el aislamiento de userspace.
Un defecto en la asignación dinámica de objetos permite que código sin privilegios ejecute escrituras fuera de límites en memoria del kernel cuando userspace está habilitado
Investigadores documentan una evolución del malware que reduce su rastro en el dispositivo mientras expande capacidades de exfiltración de datos sensibles.
