La vulnerabilidad de MapLibre expone a 2,7 MILLONES de usuarios a ataques de clic cero

Una vulnerabilidad crítica de secuencias de comandos entre sitios en la biblioteca MapLibre GL JS, ampliamente utilizada, podría exponer a las aplicaciones y a unos 2,7 millones de usuarios a ataques de clic cero. La falla, rastreada como CVE-2026-85061 y GitHub Security Advisory GHSA-jrc7-96c5-q579, afecta a maplibre-gl versiones 6.4.0 y anteriores.

MapLibre GL JS es una biblioteca de mapas JavaScript de código abierto utilizada por sitios web y aplicaciones web para representar mapas interactivos. La vulnerabilidad existe en la función DOM.sanitize () de la biblioteca, que está destinada a eliminar atributos HTML inseguros antes de insertar contenido en una página. Vulnerabilidad de cero clics de MapLibre Esto creó una condición de cambio de índice: una vez que se eliminó un atributo, el siguiente atributo se movió a su posición, pero el bucle avanzó al siguiente índice. Un atacante podría explotar el problema suministrando HTML que contenga atributos peligrosos consecutivos.

El parche cambia el comportamiento del desinfectante creando primero una copia estática de los atributos del elemento con Array. La publicación La vulnerabilidad de MapLibre expone a 2,7 MILLONES de usuarios a ataques de clic cero apareció primero en Cyber Security News.

Consultar publicación original ↗