https://alertas.dupin.com.ar/fabricante/ly-corporation/Alertas de vulnerabilidades de LY Corporation.esFri, 06 Nov 2026 10:11:34 +000010https://alertas.dupin.com.ar/cve/CVE-2026-121821/tg:63685Fri, 06 Nov 2026 10:11:34 +0000VulnerabilidadLas políticas CORS any-origin de Armeria no aplican las restricciones de ruta configuradas. Un sitio web controlado por un atacante, visitado por una víctima autenticada, puede leer respuestas sensibles de rutas excluidas cuando las credenciales están habilitadas y el navegador envía las credenciales de autenticación. Afecta a las versiones 0.84.0 a 1.42.0.https://alertas.dupin.com.ar/cve/CVE-2026-121820/tg:63684Fri, 06 Nov 2026 10:11:34 +0000VulnerabilidadEl decodificador del binding HTTP-Redirect de armeria-saml descomprime mensajes SAML provistos por el atacante sin limitar el tamaño de salida antes de validar la firma. Un atacante remoto no autenticado puede agotar la memoria del servidor y provocar una denegación de servicio. Corrige en 1.43.0.https://alertas.dupin.com.ar/cve/CVE-2026-121819/tg:63683Fri, 06 Nov 2026 10:11:33 +0000VulnerabilidadDataSourcePolicy verifica la contención de nombres de archivo sin resolver enlaces simbólicos. Un plano de control xDS comprometido o semiconfiable puede hacer que el cliente xDS lea archivos fuera de los directorios raíz permitidos mediante un enlace simbólico. En despliegues con inyector de credenciales, secretos de texto compatibles con encabezados pueden quedar expuestos a un upstream observable por el atacante. Afecta a las versiones 1.40.0 a 1.42.0.https://alertas.dupin.com.ar/cve/CVE-2026-11749/tg:63158Wed, 04 Nov 2026 07:09:31 +0000VulnerabilidadEn armeria-saml anterior a 1.41.1 no se exige el uso único de las aserciones bearer, lo que permite reutilizar IDs de aserciones ya consumidas dentro de su período de validez.https://alertas.dupin.com.ar/cve/CVE-2026-11753/tg:63156Wed, 04 Nov 2026 07:09:29 +0000VulnerabilidadEn armeria-saml anterior a 1.41.1, el RelayState controlado por el atacante se refleja en el encabezado HTTP Location tras una autenticación exitosa, lo que permite una redirección no validada a una URL controlada por el atacante.https://alertas.dupin.com.ar/cve/CVE-2026-112148/tg:60046Tue, 20 Oct 2026 07:28:09 +0000VulnerabilidadUna vulnerabilidad en LIFF SDK versiones 2.20.0 a 2.31.0 permite, mediante una falla de cross-site scripting basado en DOM, ejecutar JavaScript arbitrario en el origen del endpoint de una aplicación LIFF afectada cuando un usuario abre una URL especialmente diseñada en un navegador externo, lo que puede derivar en divulgación de tokens de autenticación accesibles por JavaScript o datos de la aplicación, o en acciones no autorizadas usando la sesión del usuario.