CVE-2026-114111 Ejecución remota de código en Sharp vía vulnerabilidad de memoria en librsvg

Qué es CVE-2026-114111

sharp antes de 0.35.5 incluye una dependencia librsvg afectada por una vulnerabilidad de memoria (CVE-2026-96889) que, bajo ciertas condiciones específicas del entorno de ejecución, puede llevar a ejecución de código en Linux basado en glibc. Un atacante puede proporcionar una imagen SVG manipulada que, al ser decodificada por sharp mediante librsvg, podría resultar en ejecución de código arbitrario.

Productos y versiones afectadas

• lovell sharp

  • hasta antes de 0.35.5

Qué hacer

1. Verificá si usás sharp y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 8.9 ALTA

CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

VECTOR DE ATAQUE (AV)

Local

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Presentes

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Alta

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Alta

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Alta

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Alta

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Alta

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Alta

Abrir la calculadora completa →

Descripción original

sharp before 0.35.5 bundles a librsvg dependency affected by a memory-related vulnerability (CVE-2026-96889) that, under certain runtime-specific conditions, can lead to code execution on glibc-based Linux. An attacker can supply a crafted SVG image that, when decoded by sharp through librsvg, may result in arbitrary code execution.

Referencias

• github.com/lovell/sharp/security/advisories/GHSA-wq5f-xc86-pv6wVENDOR-ADVISORY
• www.vulncheck.com/advisories/sharp-before-0.35.5-rce-via-librsvg-dependency-memory-vulner…THIRD-PARTY-ADVISORY

Historial de la alerta

1. 20 OCT · 22:52VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.