Munito

🚨 ALERTA VIBECODRES Playwright, el navegador que utilizan Claude Code, Cursor o Codex, lleva 1 semana con 4 vulnerabilidades críticas sin parchear. Incluso su última versión (1.64.1) viene con un Chromium anterior al parche que sacó Google el 27/10. Los 4 fallos detectados han sido todos catalogados como críticos: - CVE-2026-118306 (CVSS 9.6): corrupción de memoria en FileSystem que permite ejecutar código fuera del sandbox. - CVE-2026-118331 (CVSS 8.8): validación incorrecta en FileAPI. - CVE-2026-118348 (CVSS 8.8): validación incorrecta en Skia, el motor gráfico de Chrome. - CVE-2026-118344 (CVSS 8.8): use after free en Layout. Los cuatro se explotan de la misma forma: basta con que el navegador cargue una página HTML preparada para ello. En un Chrome normal, los tres últimos se quedarían encerrados dentro del sandbox, que es lo que impide que una web salga del navegador y llegue al resto de tu equipo. El problema es que Playwright trae el sandbox desactivado por defecto. Así que, en la práctica, los cuatro podrían permitir ejecutar código en tu equipo con tan solo visitar una web. Y aquí quien navega no eres tú. Es tu agente, que abre webs por su cuenta desde el mismo portátil en el que tienes tus archivos, el .env, tus claves SSH y tus sesiones abiertas. Si tu agente navega por internet, revisa esto hoy: ➡️ Comprueba qué Chromium utiliza en ~/.cache/ms-playwright (en Mac, ~/Library/Caches/ms-playwright). Si es chromium-1248 o inferior, está afectado. ➡️ Lánzalo con tu Chrome actualizado y con el sandbox activado (channel: 'chrome' y chromiumSandbox: true). ➡️ Fija la versión de Playwright MCP en vez de usar @latest y, si va a navegar por webs externas, ejecútalo dentro de un contenedor.