Knip: CVE atribuye traversal de rutas a IssueFixer

El registro CVE-2026-120325 atribuye a Knip un fallo de traversal de rutas en IssueFixer.writeFile, dentro del manejador de workspaces. La CNA VulDB enumera como afectadas versiones de Knip desde 6.0 hasta 6.44.0 y dice que manipular el argumento workspaces permite salir de la ruta prevista. La ficha se publicó el 2 de noviembre, afirma que el ataque puede iniciarse remotamente y no identifica una versión corregida.

Knip es una herramienta de desarrollo para localizar archivos, dependencias y exportaciones sin uso en proyectos JavaScript y TypeScript. IssueFixer forma parte de la ruta que aplica correcciones: el código del proyecto escribe cambios en archivos del espacio de trabajo y también puede quitar archivos que el análisis considera no utilizados. Eso explica por qué la frontera de rutas importa, aunque no demuestra por sí solo qué entrada controla un atacante ni qué archivo podría alterar.

La misma ficha de VulDB indica un CVSS 3.1 de 6,3, gravedad media, con vector remoto, sin privilegios previos y con interacción del usuario. También afirma que el exploit se ha divulgado públicamente y podría utilizarse. Son afirmaciones de la CNA, no observaciones de ataques: el registro no aporta organizaciones afectadas, campañas, víctimas ni evidencia de explotación en producción.

-SecureCrew dice: “remoto” y “sin privilegios” llaman la atención; la pregunta que falta es qué dato remoto llega hasta la función de escritura.-

Lo que el registro no resuelve

La descripción técnica es corta para una vulnerabilidad de una herramienta que suele ejecutarse sobre un repositorio local o en CI. No explica cómo se entrega el argumento workspaces, qué configuración permite que una fuente externa lo manipule, si hace falta activar el modo de corrección automática ni qué condiciones de plataforma intervienen. El vector CVSS orienta la prioridad, pero no sustituye esa cadena de explotación.

Tampoco hay una build marcada como corregida en el registro consultado. El límite superior afectado, 6.44.0, no permite deducir que la siguiente versión esté parcheada; y la frase “exploit público” no permite concluir que exista actividad maliciosa contra quienes usan Knip. El propio registro atribuye la información a VulDB, así que la situación debe presentarse como una vulnerabilidad registrada por esa CNA, no como un aviso técnico detallado del mantenedor.

-SecureCrew dice: un CVE puede poner una tarea en cola; no siempre trae el mapa de versiones que permite cerrarla.-

Cómo priorizarlo sin adivinar

Los equipos de desarrollo pueden empezar por inventariar la versión exacta de Knip y los lugares donde corre: estaciones de trabajo, jobs de integración continua o automatizaciones que acepten repositorios externos. Después conviene comprobar si esos flujos aplican correcciones automáticamente, qué rutas pueden escribir y qué versión recomienda el mantenedor. La ficha no ofrece una mitigación temporal ni un paquete corregido que podamos recomendar con seguridad.

Como medida provisional inferida del tipo de fallo, mantener el proceso de corrección automática dentro de un checkout aislado y revisar los cambios antes de incorporarlos reduce el alcance de una escritura inesperada. No es una mitigación publicada por el proyecto ni una prueba de que el modo automático sea requisito de explotación; el registro todavía no aporta esas condiciones. Si Knip solo analiza y no modifica archivos en un flujo, ese detalle también debe comprobarse en la configuración real antes de asignarle el mismo riesgo.

El caso merece seguimiento, pero no permite describir como comprometidas todas las instalaciones de Knip. VulDB informa de un fallo medio, versiones afectadas hasta 6.44.0 y un exploit que podría usarse; a la vez, falta una versión corregida y el vector remoto no está explicado. Hasta que aparezca ese detalle, la respuesta más útil es identificar dónde se ejecuta la herramienta, limitar escrituras no revisadas en repositorios no confiables y volver a contrastar la versión con el mantenedor.

Diccionario de la Crew

CNA — Organización autorizada para asignar y publicar registros CVE.
CVSS — Sistema para puntuar la severidad técnica; no confirma ataques ni determina por sí solo la exposición de una instalación.
CI — Integración continua: automatizaciones que compilan, analizan o prueban cambios en un repositorio.
IssueFixer — Componente de Knip que aplica correcciones a problemas detectados por la herramienta.
PoC — Prueba de concepto que muestra cómo podría reproducirse una vulnerabilidad; su existencia no acredita explotación real.
Traversal de rutas — Manipulación de rutas para acceder o escribir fuera del directorio previsto por una aplicación.
Workspace — Directorio de trabajo de un proyecto que una herramienta analiza o modifica.