VULNERABILIDAD
CVE-2026-111714 Denegación de servicio por ReDoS en tarteaucitron.js antes de 1.37.0
tarteaucitron.js antes de 1.37.0 contiene una vulnerabilidad de denegación de servicio por expresión regular que permite a atacantes bloquear páginas de visitantes suministrando nombres de cookie sin escapar a cookie.purge. Los atacantes pueden plantar una cookie desde un subdominio hermano o inyectar un elemento purgeBtn con un patrón data-cookie de backtracking catastrófico que congela la página al hacer clic en el botón de purga.
Alerta de Nureq Monitor
Detectada 16 OCT · 15:14
CVSS 3.1
3.1BAJACVSS 4.0
2.3 BAJA
PROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,2 % PERCENTIL 12
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-111714
tarteaucitron.js antes de 1.37.0 contiene una vulnerabilidad de denegación de servicio por expresión regular que permite a atacantes bloquear páginas de visitantes suministrando nombres de cookie sin escapar a cookie.purge. Los atacantes pueden plantar una cookie desde un subdominio hermano o inyectar un elemento purgeBtn con un patrón data-cookie de backtracking catastrófico que congela la página al hacer clic en el botón de purga.
Productos y versiones afectadas
AmauriC tarteaucitron.js
Qué hacer
- Verificá si usás tarteaucitron.js y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 3.1 BAJA
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:L
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Alta
- PRIVILEGIOS REQUERIDOS (PR)
- Ninguno
- INTERACCIÓN DEL USUARIO (UI)
- Requerida
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Ninguna
- INTEGRIDAD (I)
- Ninguna
- DISPONIBILIDAD (A)
- Baja
CVSS 4.0 · 2.3 BAJA
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:P/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Alta
- REQUISITOS DEL ATAQUE (AT)
- Presentes
- PRIVILEGIOS REQUERIDOS (PR)
- Ninguno
- INTERACCIÓN DEL USUARIO (UI)
- Pasiva
- CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
- Ninguna
- INTEGRIDAD (SISTEMA VULNERABLE) (VI)
- Ninguna
- DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
- Baja
- CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
- Ninguna
- INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
- Ninguna
- DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
- Ninguna
Abrir la calculadora completa →
Descripción original
tarteaucitron.js before 1.37.0 contains a regular expression denial of service vulnerability that allows attackers to block visitor pages by supplying unescaped cookie names to cookie.purge. Attackers can plant a cookie from a sibling subdomain or inject a purgeBtn element with a catastrophic-backtracking data-cookie pattern that freezes the page when the purge button is clicked.
Referencias
- github.com/AmauriC/tarteaucitron.js/commit/60faaba5fd541cad770549d422fc4ac7de657e56PATCH
- github.com/AmauriC/tarteaucitron.js/releases/tag/v1.37.0RELEASE-NOTES
- github.com/AmauriC/tarteaucitron.js/blob/v1.36.0/tarteaucitron.js#L2169-L2175TECHNICAL-DESCRIPTION
- www.vulncheck.com/advisories/tarteaucitron-js-before-1.37.0-redos-via-unescaped-cookie-na…THIRD-PARTY-ADVISORY
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.