TanStack parchó una falla XSS crítica, CVE-2026-102989, en TanStack Start tras un reporte de Lovable

Entrada de archivo: cubre un hecho del 30 de septiembre de 2026 y la publicamos el 8 de noviembre de 2026. Los datos provienen de fuentes de esa fecha y pueden haber cambiado desde entonces.

El 30 de septiembre de 2026, TanStack publicó correcciones para CVE-2026-102989, una falla crítica de cross-site scripting (XSS) reflejado en las respuestas de las funciones de servidor de TanStack Start, según describió en su publicación sobre la actualización de seguridad de TanStack Start. Antes del lanzamiento, TanStack informó en privado a proveedores de hosting, distribuidores y socios afectados, y agradeció a Lovable por ayudar a descubrir y corregir el problema.

En qué consistía la vulnerabilidad

• El aviso de seguridad de GitHub GHSA-qx66-fv34-fjm8 describía un XSS reflejado sin autenticación, calificado como crítico, con una puntuación CVSS 3.1 de 9.3 (AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N).
• Un atacante podía armar una URL hacia una función de servidor. Si alguien la abría, la app podía devolver HTML controlado por el atacante desde su propio origen y ejecutar el JavaScript del atacante con el acceso de ese visitante.
• Las versiones afectadas empezaban en la 1.143.12. Las versiones corregidas eran @tanstack/react-start 1.168.60, @tanstack/solid-start 1.168.57, @tanstack/vue-start 1.168.56 y @tanstack/start-server-core 1.169.39.
• TanStack dijo que la corrección restringía la entrada proporcionada por el cliente y validaba las respuestas en el límite del servidor.

Qué significó para quienes crean con IA

TanStack Start servía de base a muchas apps creadas con IA, incluidos los proyectos de Lovable. Actualizar solo una instalación local no corregía una app que ya estaba desplegada, así que los equipos que alojaban esas apps en otro lugar tenían que actualizar y volver a desplegar por su cuenta.

Cómo respondieron Lovable y Netlify

• Lovable dijo que un integrante de su equipo de seguridad encontró la falla el 14 de septiembre de 2026, la reportó a TanStack ese mismo día y aplicó reglas de firewall a las apps alojadas en Lovable. En su publicación sobre cómo protege las apps de la vulnerabilidad de TanStack Start, dijo que no encontró indicios de explotación en los registros que revisó.
• El agente de código de Lovable actualizaba TanStack Start a la versión corregida la siguiente vez que se modificaba un proyecto afectado, los usuarios podían aplicar la corrección desde la página Security del proyecto sin costo en créditos, y los proyectos creados en Lovable arrancaban con la versión corregida.
• Netlify recomendó actualizar lo antes posible y advirtió que las vistas previas de despliegue y los despliegues de ramas de acceso público podían seguir siendo vulnerables hasta que se eliminaran, en su actualización de seguridad sobre TanStack Start.

Fuentes

• TanStack Start security update: CVE-2026-102989 (TanStack, 30 de septiembre de 2026, oficial)
• Unauthenticated reflected XSS in TanStack Start server-function responses (TanStack (GitHub Security Advisory), 30 de septiembre de 2026, oficial)
• A vulnerability in TanStack Start: what we found and what we did to protect your apps (Lovable, 30 de septiembre de 2026, oficial)
• Security Update: Cross-site scripting in TanStack Start (Netlify, 30 de septiembre de 2026, oficial)

Redactado con ayuda de IA, únicamente a partir de las fuentes indicadas arriba. Antes de publicarse, controles automáticos verificaron sus fechas, sus fuentes y todas sus versiones de idioma.