Se ha identificado una vulnerabilidad crítica de seguridad (CVE-2026-44211) en el servidor de Cline Kanban, un asistente de codificación de IA de código abierto. Este fallo de secuestro de WebSocket de origen cruzado permite que atacantes remotos ejecuten código arbitrario y exfiltren datos del espacio de trabajo de manera silenciosa.

Se ha identificado un fallo de seguridad crítico en el servidor Cline Kanban que permite a los actores de amenazas exfiltrar datos del espacio de trabajo y ejecutar código arbitrario de forma silenciosa y remota.

El investigador de seguridad TheRealSpencer publicó recientemente los detalles de esta vulnerabilidad de secuestro de WebSocket de origen cruzado que afecta al asistente de codificación de IA de código abierto, ampliamente adoptado.

La vulnerabilidad está registrada como CVE-2026-44211 y tiene una puntuación de severidad casi máxima de 9.7.

Investigadores de Oasis Security señalaron que el problema se deriva de la falta de validación del origen en el servidor local expuesto por el paquete.

Si usas el software afectado, corres un alto riesgo simplemente visitando una página web maliciosa mientras el servidor se ejecuta en segundo plano.

Vulnerabilidad del Agente de IA Cline

El problema central reside en el paquete npm kanban utilizado por la interfaz de línea de comandos de Cline.

Al iniciarse, la aplicación arranca un servidor WebSocket local en el puerto 3484 sin implementar autenticación ni verificar la cabecera de origen de las solicitudes entrantes.

Este descuido arquitectónico significa que cualquier sitio web externo que visites puede establecer una conexión con el servidor local sin ninguna intervención tuya.

Los analistas de seguridad observaron que los navegadores web no restringen las conexiones WebSocket de origen cruzado a localhost, lo que permite que el JavaScript malicioso interactúe libremente con los endpoints expuestos.

Una vez conectados al flujo de ejecución, los atacantes pueden filtrar instantáneamente información sensible, incluyendo rutas del sistema de archivos, detalles de ramas de git, títulos de tareas y mensajes de chat del agente de IA en vivo.

Más allá de la divulgación de información, la vulnerabilidad permite a atacantes remotos tomar el control de las terminales del agente de IA en ejecución.

Al conectarse al WebSocket de entrada y salida de la terminal, los actores de amenazas pueden inyectar prompts arbitrarios directamente en el espacio de trabajo activo del agente.

El sistema procesa estos comandos inyectados como si fueran entradas nativas del usuario, convirtiendo una inyección de texto básica en una ejecución remota de código completa cuando le sigue un retorno de carro.

Expertos en seguridad han demostrado que esto puede utilizarse para ejecutar comandos de shell maliciosos en el sistema operativo de la víctima sin ninguna interacción directa del usuario.

Además, el endpoint del servidor de control puede ser manipulado para terminar sesiones activas, creando una condición de denegación de servicio.

El exploit es efectivo en cualquier plataforma donde se desplieguen Node.js y Cline, incluyendo entornos de macOS, Linux y Windows.

Actualmente no hay versiones parcheadas disponibles para esta vulnerabilidad crítica, lo que te deja expuesto si utilizas versiones anteriores de la CLI de Cline.

La mitigación requiere cambios estructurales significativos en la implementación del servidor web local de la aplicación.

Tras la publicación de TheRealSpencer en GitHub, los profesionales de la seguridad aconsejaron a los desarrolladores validar las cabeceras de origen para evitar actualizaciones de WebSocket no autorizadas.

Además, generar y requerir un token de sesión aleatorio al iniciar el servidor bloquearía eficazmente que los orígenes externos adivinen los parámetros de conexión necesarios.

Hasta que se lancen los parches oficiales, debes extremar las precauciones al navegar por internet mientras ejecutas la aplicación Cline Kanban.