Soluciona las vulnerabilidades de Moment.js sin tener que reescribir tu código de fechas

Sí, en modo de mantenimiento. Moment.js es un proyecto «At-Large» de la OpenJS Foundation mantenido por voluntarios. La actualización del estado del proyecto Moment.js de agosto de 2026 indica que los responsables prevén nuevas versiones de mantenimiento de la serie 2.x, abordarán problemas críticos de seguridad y ya no descartan categóricamente una versión 3.0 de Moment orientada al mantenimiento. Moment.js 2.31.0 se publicó el 15 de septiembre de 2026. Las correcciones de seguridad se incorporan a las versiones actuales, en lugar de a las versiones más antiguas a las que muchas aplicaciones están vinculadas.

Las versiones 2.0.0 y 2.10.6 de Moment.js se ven afectadas por los vulnerabilidades CVE-2016-4055 y CVE-2017-18214, ambas relacionadas con denegación de servicio mediante expresiones regulares, y por la vulnerabilidad CVE-2022-24785, un desbordamiento de ruta en el cambio de configuración regional. Ambas versiones también se ven afectadas por otro aviso de ReDoS que abarca las versiones anteriores a la 2.15.2, que no tiene identificador CVE y que Snyk registra como npm:moment:20161019. Moment.js 2.24.0 se ve afectado por CVE-2022-24785 y por CVE-2022-31129, otro ReDoS. La actualización no ha solucionado definitivamente el problema de recorrido de la ruta de configuración regional. CVE-2026-17495, revelado el 15 de septiembre de 2026, afecta a Moment.js desde la versión 2.29.2 hasta la 2.30.1, ya que elude la protección de nombre de configuración regional que esas versiones introdujeron para corregir CVE-2022-24785. Los equipos que actualizaron en 2022 para solucionar el CVE-2022-24785 se han visto afectados por esta corrección incompleta, y la solución pasa por otra actualización a la versión 2.31.0.

Sustituye el paquete vulnerable por una versión de la misma edición que haya sido parcheada para mejorar la seguridad. TuxCare Endless Lifecycle Support publica paquetes de Moment.js con mantenimiento a través del registro npm de TuxCare. Añade el registro a .npmrc, configura package.json para que apunte al paquete ELS manualmente o con el TuxCare Patcher, elimina node_modules y el archivo lockfile, vacía la caché de npm y, a continuación, ejecuta npm install. Los paquetes son sustitutos directos de las versiones originales a las que corresponden, por lo que la aplicación sigue llamando a la misma API de Moment.js.

El servicio de soporte de ciclo de vida ilimitado de TuxCare cubre Moment.js 2.0.0, 2.10.6 y 2.24.0, además de Moment Timezone 0.4.1. Moment Timezone es un paquete npm independiente y aparece en la lista por separado. La cobertura es específica para cada versión, por lo que el paquete instalado coincide con la línea de versiones que la aplicación ya espera. Las aplicaciones fijadas en una versión diferente pueden ponerse en contacto con TuxCare para conocer las opciones de cobertura.

Sí. Moment.js suele incorporarse a través de selectores de fecha, bibliotecas de gráficos y otros componentes, en lugar de mediante una importación directa. Los paquetes de TuxCare ELS se resuelven desde el registro npm de TuxCare, y las sustituciones de npm en el archivo package.json redirigen las instancias cubiertas en el árbol de dependencias hacia el paquete mantenido. El TuxCare Patcher puede detectar las versiones cubiertas y aplicar esas sustituciones. Los mismos paquetes se instalan en compilaciones de Docker y en pipelines de CI/CD.

En parte. El servicio «Endless Lifecycle Support» de TuxCare está diseñado para dar respuesta a los requisitos de corrección de vulnerabilidades de Moment.js en el marco de normativas como SOC 2, PCI DSS, HIPAA, NIS2, DORA y la Ley de Ciberresiliencia de la UE. Por sí solo, no garantiza que una aplicación cumpla con dichas normativas. Lo que ofrece es un proveedor identificado, un acuerdo de nivel de servicio (SLA) contractual y un proceso de corrección documentado que los auditores pueden revisar.

Ambas posturas pueden ser válidas, y el factor decisivo es el grado de integración de Moment.js en la aplicación. La actualización del estado del proyecto de agosto de 2026 se retracta de la recomendación de 2020 de no iniciar nuevos proyectos e informa de que las descargas semanales se han más que triplicado, por lo que los argumentos a favor de eliminar Moment.js son ahora menos sólidos que antes. En el caso de una aplicación madura con años de lógica de análisis, formateo, configuración regional y zona horaria basada en la API de Moment.js, TuxCare ELS mantiene actualizadas las versiones cubiertas mientras se lleva a cabo la migración según un calendario planificado, o mientras la aplicación siga utilizando Moment.js por elección propia.