Falla grave de enlaces simbólicos en isomorphic-git permite escritura de archivos

El 9 de noviembre de 2026, GitHub Security Advisories y el proyecto isomorphic-git publicaron un aviso de seguridad de alta severidad sobre isomorphic-git, una implementación de git en JavaScript integrada en numerosas herramientas de desarrollo, pipelines de CI y clientes de git de escritorio o basados en Electron. El aviso describe una falla de path traversal que permite que las operaciones de checkout escriban archivos fuera del directorio de trabajo previsto mediante un enlace simbólico a un directorio, plantado por un repositorio malicioso, detallada en el aviso de seguridad de isomorphic-git GHSA-9qw7-j9xw-fv9c.

Detalles clave de la falla

• Registrada como CVE-2026-63395, aviso de seguridad de GitHub GHSA-9qw7-j9xw-fv9c, con puntaje CVSS 3.1 de 8.8 (severidad alta)
• Clasificada bajo CWE-22 (path traversal) y CWE-59 (resolución incorrecta de enlaces)
• git.checkout escribe archivos del directorio de trabajo a través de un enlace simbólico a un directorio sin validar la ruta inicial
• Un repositorio malicioso puede plantar un enlace simbólico en un commit y luego escribir fuera del directorio de trabajo, por ejemplo en ~/.ssh o en el propio .git del repositorio, en un segundo commit
• La falla está en la propia lógica de checkout de isomorphic-git y es independiente del backend de sistema de archivos utilizado
• Todas las versiones hasta 1.38.5 inclusive están afectadas; la corrección llega en 1.38.6

Qué significa para quienes construyen con IA

isomorphic-git está ampliamente integrado en servidores Node.js, automatización de CI, CLIs y clientes de git de escritorio o basados en Electron, incluidos algunos entornos de prueba de agentes de código que clonan repositorios arbitrarios. Cualquiera de esas herramientas que quede en una versión sin actualizar queda expuesta a escritura arbitraria de archivos, y potencialmente a ejecución remota de código, con solo clonar o hacer checkout de un repositorio manipulado.

Qué hacer ahora

Los equipos que integran isomorphic-git, de forma directa o a través de una dependencia, deben actualizar a la versión 1.38.6, donde la corrección aplica sin importar el backend de sistema de archivos que use la integración. El aviso se publicó el 9 de noviembre de 2026, a las 19:53 UTC.

Fuentes

• isomorphic-git: arbitrary file write via directory symlink (CVE-2026-63395) (GitHub Security Advisories / isomorphic-git, 9 de noviembre de 2026, oficial)

Redactado con ayuda de IA, únicamente a partir de las fuentes indicadas arriba. Antes de publicarse, controles automáticos verificaron sus fechas, sus fuentes y todas sus versiones de idioma.