CríticaVulnerabilidadGitHub Advisory Database10 de noviembre de 2026

node-opcua: Fallo de RBAC a nivel de namespace - Evasión de escritura/llamada anónima a través de permisos de roles predeterminados no vinculados

Título original: node-opcua: Namespace-Level RBAC Fail-Open - Anonymous Write/Call Bypass via Unbound `DefaultRolePermissions

Activa. Aparece en la lectura más reciente de la fuente.

Qué puede pasar

Alguien puede ver o hacer cosas para las que no tiene permiso. Según la fuente, se puede aprovechar a distancia y sin iniciar sesión.

Resumen en palabras llanas del tipo de falla que declara la fuente. El detalle está en el aviso original.

Qué hacer

Actualiza node-opcua, node-opcua-address-space, node-opcua-server a la versión 2.180.0 o posterior.

Paquetes afectados

Paquete	Gestor	Versiones afectadas	Corregido en
node-opcua	npm	>= 2.42.0, < 2.180.0	2.180.0
node-opcua-address-space	npm	>= 2.42.0, < 2.180.0	2.180.0
node-opcua-server	npm	>= 2.42.0, < 2.180.0	2.180.0

Datos

Gravedad: Crítica
Tipo: Vulnerabilidad
Identificador: CVE-2026-95860 · GHSA-xggf-m53x-jc3f
CVSS: 9.1 de 10
Probabilidad de ataque: 0.6 % en los próximos 30 días (EPSS, FIRST.org)
Publicada por la fuente: 10 de noviembre de 2026
Vista por primera vez: 13 de noviembre de 2026 a las 11:49 a.m. (hora de México)
Etiquetas: npm
Fuente: GitHub Advisory Database · CC BY 4.0

Ver en la fuente Recibir avisos de lo que uso Todas las alertas

Network Alert compila y resume; la fuente manda. La traducción es automática. Verifica en la fuente antes de actuar. ¿Viste un error? Está en Correcciones cómo reportarlo.