Una falla en agent-device permitía leer archivos locales de forma remota

GitHub Security Advisories reveló el 13 de noviembre de 2026 una vulnerabilidad de divulgación de archivos locales en agent-device. agent-device es una CLI, un servidor MCP y una API de Node.js de código abierto que permiten a los agentes de IA controlar aplicaciones móviles, web, de TV y de escritorio en dispositivos y simuladores reales, y el aviso indica que un llamador remoto autenticado puede extraer cualquier archivo legible del host donde se ejecuta. Los detalles completos están en agent-device Local File Disclosure via file:// Navigation in Open Command.

Qué cambió

• agent-device se describe como una capa de dispositivos de código abierto para agentes de IA: una CLI, un servidor MCP y una API tipada de Node.js para controlar aplicaciones móviles, web, de TV y de escritorio en dispositivos y simuladores.
• El aviso está registrado como GHSA-g87j-p64h-w8wc y CVE-2026-129130, clasificado como CWE-73 (External Control of File Name or Path).
• Las versiones afectadas son 0.21.36 y anteriores; la corrección se publicó en la versión 0.21.37.
• La severidad CVSS se indica como 6.5 (Medium) según un rastreador y 7.1 (High) según otro.
• Un llamador remoto autenticado puede enviar un comando open dirigido a una URL file:// a través de la interfaz /rpc.
• Un comando snapshot posterior permite al atacante extraer cualquier archivo de texto plano legible por la cuenta del host donde corre el daemon.

Qué significa para quienes construyen con IA

La vulnerabilidad se encuentra dentro de un servidor MCP construido específicamente para que los agentes de IA controlen dispositivos reales, lo que significa que un atacante remoto puede leer archivos locales arbitrarios a través del propio daemon del agente. Para los equipos que adoptan la automatización de dispositivos basada en agentes, esto representa un riesgo concreto en la cadena de suministro: cualquier flujo de trabajo que expone la interfaz /rpc de agent-device a un llamador remoto podría filtrar archivos legibles por la cuenta que ejecuta el daemon.

Corrección y disponibilidad

La corrección se publicó en la versión 0.21.37; las versiones 0.21.36 y anteriores siguen afectadas. Los equipos que ejecutan agent-device como parte de un flujo de automatización de dispositivos basado en agentes deberían actualizar a 0.21.37 para cerrar la ruta de ataque descrita en el aviso, que usa los comandos open y snapshot.

Fuentes

• agent-device Local File Disclosure via file:// Navigation in Open Command (GitHub Security Advisories, 13 de noviembre de 2026, oficial)

Redactado con ayuda de IA, únicamente a partir de las fuentes indicadas arriba. Antes de publicarse, controles automáticos verificaron sus fechas, sus fuentes y todas sus versiones de idioma.