DUPIN Alertas · tsparticleshttps://alertas.dupin.com.ar/fabricante/tsparticles/Alertas de vulnerabilidades de tsparticles.esThu, 05 Nov 2026 00:44:44 +000010Vulnerabilidad: CVE-2026-76892 · Denegación de servicio en @tsparticles/mcp-server por JSON malformadohttps://alertas.dupin.com.ar/cve/CVE-2026-76892/tg:63388Thu, 05 Nov 2026 00:44:44 +0000VulnerabilidadEl modo HTTP de @tsparticles/mcp-server llama a JSON.parse fuera de un límite de error local en el handler POST /mcp de integrations/mcp-server/src/index.ts. Un único cuerpo JSON malformado no autenticado provoca un SyntaxError que termina el proceso de Node.js y deja el servicio MCP no disponible hasta que un supervisor externo lo reinicie. Se corrige en la versión 4.3.1.Vulnerabilidad: CVE-2026-76826 · Inyección de comandos del sistema en el flujo de publicación estable de tsParticleshttps://alertas.dupin.com.ar/cve/CVE-2026-76826/tg:63387Thu, 05 Nov 2026 00:44:44 +0000VulnerabilidadEl flujo de publicación estable interpola steps.release.outputs.body directamente en un comando echo en Bash antes de escribir RAW_RELEASE.md. Metacaracteres de shell controlados por contribuyentes en el texto de las notas de versión pueden ejecutarse cuando un mantenedor inicia una publicación estable, permitiendo modificar artefactos o scripts del espacio de trabajo y afectar pasos posteriores con GITHUB_TOKEN y permisos de escritura. Se corrige en la versión 4.3.2.Vulnerabilidad: CVE-2026-63655 · Denegación de servicio remota por búfer sin límite en @tsparticles/mcp-serverhttps://alertas.dupin.com.ar/cve/CVE-2026-63655/tg:63368Wed, 04 Nov 2026 23:54:09 +0000VulnerabilidadEl modo HTTP de @tsparticles/mcp-server acepta solicitudes POST /mcp no autenticadas y acumula cada fragmento del cuerpo en un Buffer[] sin límite de tamaño antes de Buffer.concat y JSON.parse. Un atacante remoto puede enviar un cuerpo arbitrariamente grande para agotar la memoria del proceso Node.js y terminar el servicio, incluso en la configuración Docker oficial. Corregido en 4.3.1.Vulnerabilidad: CVE-2026-76893 · Monopolio de sesión MCP anónima en el modo HTTP de @tsparticles/mcp-serverhttps://alertas.dupin.com.ar/cve/CVE-2026-76893/tg:63365Wed, 04 Nov 2026 23:54:07 +0000VulnerabilidadEl modo HTTP reutiliza un único StreamableHTTPServerTransport con estado para todos los clientes. Un cliente no autenticado que envía la primera solicitud initialize sin mcp-session-id toma el estado compartido y los clientes posteriores reciben Server already initialized, sin poder establecer sesiones hasta reiniciar el proceso. Corregido en 4.3.2.