Se ha detectado una vulnerabilidad crítica de seguridad en la implementación de webview de Visual Studio Code. Este fallo permite que los atacantes roben tokens de OAuth de GitHub, otorgando acceso de lectura y escritura a repositorios privados, mediante un simple clic en un enlace malicioso. El error fue revelado públicamente el 2 de junio de 2026 por el investigador de seguridad Ammar Askar.

Una vulnerabilidad de seguridad crítica en la implementación de webview de Visual Studio Code permite que los atacantes roben tokens de OAuth de GitHub, incluyendo el acceso de lectura/escritura a repositorios privados, simplemente engañando a la víctima para que haga clic en un solo enlace malicioso.

El error fue divulgado públicamente el 2 de junio de 2026 por el investigador de seguridad Ammar Askar, quien optó por una divulgación completa tras experiencias negativas previas con el Centro de Respuesta de Seguridad de Microsoft (MSRC).

GitHub ofrece un editor VSCode ligero basado en el navegador accesible en github.dev. Cuando navegas desde github.com a github.dev en cualquier repositorio, github.com envía automáticamente un token de OAuth a la sesión de github.dev que concede acceso total a cada repositorio al que tengas acceso, no solo al que has abierto.

Este token sin alcance limitado, combinado con que casi todo el código base de TypeScript de VSCode se ejecuta en el navegador, crea un objetivo atractivo para los atacantes.

Modelo de Seguridad de Webview de VSCode

VSCode aísla el contenido potencialmente no confiable utilizando elementos <iframe> de webview servidos desde un origen vscode-webview:// independiente, distinto del origen vscode-file:// del editor principal.

Este aislamiento de origen cruzado evita que el JavaScript de la webview llame directamente a las API de Node.js o del editor de VSCode. Funciones como las vistas previas de Markdown y las salidas de los cuadernos de Jupyter se renderizan dentro de estos iframes aislados.

Para permitir que el editor y las webviews se comuniquen —por ejemplo, para sincronizar una vista previa de Markdown con la línea actual del editor— VSCode utiliza la API Window.postMessage(), pasando objetos JavaScript estructurados entre los dos orígenes aislados.

Para mejorar tu experiencia de usuario, la implementación de webview de VSCode registra un manejador de eventos did-keydown que reenvía cada evento de teclado desde el interior de la webview a la ventana principal de VSCode a través de postMessage. Esto permite que los atajos de teclado como Ctrl+Shift+P funcionen sin problemas incluso cuando estés enfocado dentro de una webview.

El JavaScript no confiable en una webview puede crear eventos de teclado falsos, simulando la entrada del teclado del usuario. La barrera de seguridad destinada a separar las "APIs Peligrosas" del "Contenido de Usuario No Confiable" se ve comprometida, ya que el canal postMessage para el reenvío del teclado los vincula involuntariamente.

Cadena de Explotación: Del Clic a la Exfiltración del Token

El investigador de seguridad Ammar Askar publicó una prueba de concepto completa el 2 de junio de 2026, demostrando una cadena completa de robo de tokens. El ataque aprovecha cinco comportamientos encadenados de VSCode:

Jupyter Notebook puede ser explotado a través de archivos .ipynb maliciosos que utilizan una etiqueta de imagen HTML con un manejador onerror para ejecutar JavaScript arbitrario dentro de un iframe de webview. De manera similar, en Visual Studio Code (VSCode), los atacantes pueden aprovechar el archivo .vscode/extensions.json, que normalmente recomienda extensiones.

La carga útil espera una notificación de recomendación de VSCode y luego envía un evento sintético de teclado Ctrl+Shift+A, que corresponde al comando "Notifications: Accept Notification Primary Action", permitiendo la instalación silenciosa de la extensión maliciosa.

En lugar de instalar desde el Marketplace, donde se activaría un diálogo de confianza del editor, el atacante puede colocar la extensión dañina directamente en el directorio .vscode/extensions/.

Este método permite que la extensión evite la verificación del editor confiable, basándose únicamente en la confianza del espacio de trabajo, una característica que hace que los espacios de trabajo de github.dev siempre sean confiables. Debido a las restricciones impuestas por las Políticas de Seguridad de Contenido (CSP), las extensiones locales no pueden cargar sus scripts de trabajador desde ningún lugar excepto desde vscode-cdn.net.

Para superar esta limitación, el atacante puede introducir una combinación de teclas personalizada (como Ctrl+F1) a través de package.json, que llama a la función workbench.extensions.installExtension mientras establece skipPublisherTrust en true.

Una vez instalada, la extensión maliciosa puede acceder al token de OAuth de GitHub precargado y realizar solicitudes a https://api.github.com/user/repos para enumerar todos los repositorios privados accesibles, exfiltrando finalmente tanto el token como la lista de repositorios.

La carga útil completa de JavaScript se ejecuta en mucho menos de un minuto y requiere cero interacción más allá del clic inicial en el enlace.

La vulnerabilidad afecta a github.dev, la versión de VSCode alojada en el navegador, así como a la versión de escritorio de VSCode, aunque la variante de escritorio requiere que la víctima clone y abra el repositorio del atacante.

En escritorio, un exploit exitoso logra una Ejecución Remota de Código (RCE) completa, ya que las extensiones de VSCode tienen acceso sin restricciones a las API de Node.js, incluyendo child_process.

El token de OAuth de GitHub robado no está limitado a un solo repositorio, lo que significa que un atacante podría leer, modificar o subir cambios silenciosamente a cada repositorio privado al que tengas acceso.

Dado que github.dev no implementa tokens CSRF, cualquier enlace en internet puede redirigir a un usuario hacia este ataque. Los pasos de mitigación incluyen:

• Borra los datos del sitio para github.dev en tu navegador (Chrome: icono de la barra de direcciones → Cookies y datos del sitio → Administrar datos del sitio en el dispositivo → eliminar todos los dominios de github.dev). Esto reactiva un diálogo de advertencia, dándote la oportunidad de salir.
• Evita hacer clic en enlaces desconocidos de github.dev hasta que Microsoft o GitHub publiquen un parche.
• Audita las extensiones instaladas en github.dev y desinstala cualquier cosa que no reconozcas.
• Los usuarios que nunca han visitado github.dev anteriormente y han borrado su almacenamiento local están protegidos por un diálogo de consentimiento inicial.

El investigador reconoció que las medidas de defensa en profundidad de VSCode limitaron el radio de impacto. La estricta Política de Seguridad de Contenido (script-src 'none') en las páginas de vista previa de Markdown de las extensiones bloquea la ejecución de JavaScript arbitrario allí, evitando una ruta de RCE de 1 solo clic aún más sencilla a través de una página de extensión maliciosa del Marketplace. El uso de DOMPurify para sanear el Markdown renderizado también cierra los vectores de cross-site scripting.

El investigador Ammar Askar publicó esta vulnerabilidad como una divulgación pública completa sin aviso coordinado previo a Microsoft, citando una experiencia negativa anterior con el Centro de Respuesta de Seguridad de Microsoft (MSRC). Askar notificó a un contacto de seguridad de GitHub una hora antes de publicar.