CVE-2026-114113 Múltiples vulnerabilidades en Sharp vía decodificadores de imágenes libvips incluidos

Qué es CVE-2026-114113

sharp antes de 0.35.0 incluye una versión de libvips afectada por múltiples vulnerabilidades (CVE-2026-33327, CVE-2026-33328, CVE-2026-35590, CVE-2026-35591 y CVE-2026-69242) en sus decodificadores de imágenes GIF, TIFF y VIPS. Un atacante puede proporcionar archivos GIF, TIFF o VIPS manipulados a aplicaciones que usan sharp para procesar entradas no confiables, disparando esas fallas de libvips.

Productos y versiones afectadas

• lovell sharp

  • hasta antes de 0.35.0

Qué hacer

1. Verificá si usás sharp y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 8.4 ALTA

CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:L/VI:H/VA:H/SC:L/SI:H/SA:H

VECTOR DE ATAQUE (AV)

Local

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Baja

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Alta

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Alta

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Baja

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Alta

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Alta

Abrir la calculadora completa →

Descripción original

Sharp before 0.35.0 bundles a version of libvips affected by multiple vulnerabilities (CVE-2026-33327, CVE-2026-33328, CVE-2026-35590, CVE-2026-35591 and CVE-2026-69242) in its GIF, TIFF and VIPS image decoders. Attackers can supply crafted GIF, TIFF or VIPS files to applications using sharp to process untrusted input, triggering these libvips flaws.

Referencias

• github.com/lovell/sharp/security/advisories/GHSA-f88m-g3jw-g9cjVENDOR-ADVISORY
• www.vulncheck.com/advisories/sharp-before-0.35.0-multiple-vulnerabilities-via-bundled-lib…THIRD-PARTY-ADVISORY

Historial de la alerta

1. 20 OCT · 22:52VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.