Vulnerabilidades de un paquete npm, PyPI o Maven: CVE

Indique un paquete y su versión: fallos conocidos en la base OSV, identificadores CVE, gravedad publicada y versión corregida (npm, PyPI, Maven).

¿Tiene esta versión de una dependencia fallos conocidos? (OSV)

OSV.dev, base abierta gestionada por Google, reúne avisos de seguridad de GitHub, PyPA, Go, RustSec y otras fuentes en el formato común OSV. Para un paquete y una versión, la API devuelve los fallos cuyos rangos afectados incluyen esa versión; cada aviso indica la versión que lo corrige.

Qué muestra la herramienta

La herramienta envía a la API de OSV el nombre del paquete, su ecosistema y, si la indica, la versión. Para cada fallo muestra el identificador OSV (GHSA, PYSEC, GO, RUSTSEC…) con enlace al aviso, los alias con el número CVE, el resumen publicado, la gravedad tal como se publica (nivel de GitHub y vector CVSS), la fecha de publicación y las versiones que corrigen este paquete. No calcula ninguna nota: el vector CVSS se reproduce tal cual.

Ejemplo

A 14/10/2026, lodash 4.17.15 (npm) está afectado por 6 avisos, entre ellos CVE-2020-8203 (contaminación de prototipo, gravedad HIGH, corregida en 4.17.19) y CVE-2021-23337 (inyección de comandos, corregida en 4.17.21). Un mismo CVE puede aparecer con dos identificadores GHSA cuando el aviso cubre varios paquetes.

Límites

  • Sin versión, la lista abarca todas las versiones del paquete.
  • La ausencia de resultados no prueba la ausencia de fallos: nombre mal escrito, fallo no publicado o ecosistema no cubierto.
  • Resúmenes y niveles de gravedad se muestran en inglés.
  • Las respuestas se guardan una hora en la sesión.

Esta herramienta responde a una pregunta de seguridad sobre una versión concreta. Para la última versión de un paquete Python y sus dependencias, use la herramienta PyPI; para cargar una biblioteca por CDN, la herramienta jsDelivr.

Fuentes y fechas: Documentación de la API de OSV (POST /v1/query), formato OSV (OpenSSF), datos leídos en directo (verificado el 14/10/2026).

Preguntas frecuentes

¿Cómo saber si una versión de un paquete npm tiene un fallo conocido?

Consulte una base de avisos como OSV con el nombre y la versión exacta: devuelve los fallos cuyo rango afectado incluye esa versión. En un proyecto, npm audit hace la misma comprobación sobre todo el package-lock.json.

¿Qué diferencia hay entre un identificador GHSA y un CVE?

El CVE es el identificador universal asignado por una autoridad CNA (p. ej. CVE-2021-23337). El GHSA es el identificador de la base de avisos de GitHub; un aviso GHSA cita el CVE correspondiente en sus alias cuando existe.

¿Qué significa un vector CVSS como AV:N/AC:L/PR:N?

Es la descripción estándar del fallo: AV:N significa explotable por red, AC:L complejidad baja, PR:N sin privilegios previos. La puntuación de 0 a 10 se calcula a partir de estos criterios con la fórmula oficial de la versión CVSS indicada (3.1 o 4.0).

¿Qué hacer si no hay ninguna versión corregida publicada?

Compruebe si su código usa realmente la función vulnerable y busque un método alternativo en el aviso o una biblioteca de sustitución. Siga el aviso: la versión corregida se añadirá en cuanto se publique.

¿La herramienta es realmente gratuita?

Sí, todas las herramientas en Kristools son 100% gratuitas y accesibles sin registro.

¿Están protegidos mis datos?

Sí. Todo el procesamiento se realiza de forma segura y directa en tu navegador. No se envían datos personales a nuestros servidores.