{"id":1061,"date":"2026-06-03T15:01:44","date_gmt":"2026-06-03T15:01:44","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/03\/el-ataque-de-desarrollo-de-github-con-un-solo-clic-permite-a-los-atacantes-robar-tokens-completos-de-oauth-de-github-cyberdefensa-mx\/"},"modified":"2026-06-03T15:01:44","modified_gmt":"2026-06-03T15:01:44","slug":"el-ataque-de-desarrollo-de-github-con-un-solo-clic-permite-a-los-atacantes-robar-tokens-completos-de-oauth-de-github-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/03\/el-ataque-de-desarrollo-de-github-con-un-solo-clic-permite-a-los-atacantes-robar-tokens-completos-de-oauth-de-github-cyberdefensa-mx\/","title":{"rendered":"El ataque de desarrollo de GitHub con un solo clic permite a los atacantes robar tokens completos de OAuth de GitHub \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Investigadores de ciberseguridad han revelado un ataque con un solo clic a trav\u00e9s de Microsoft Visual Studio Code (VS Code) que permite robar el token de GitHub de un usuario.<\/p>\n

\u00abCon solo hacer clic en un enlace, es posible que un atacante robe un token de GitHub que puede leer y escribir en sus repositorios, incluidos los privados\u00bb, dijo el investigador de seguridad Ammar Askar. dicho<\/a>.<\/p>\n

GitHub admite una funci\u00f3n llamada GitHub.dev<\/a> que corre como un editor de c\u00f3digo fuente ligero basado en web<\/a> en la zona de pruebas del navegador web iniciando un entorno VS Code. Permite a los usuarios enviar solicitudes de extracci\u00f3n y realizar confirmaciones.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

\u00abEsta funcionalidad se logra mediante la PUBLICACI\u00d3N de github.com a trav\u00e9s de un token OAuth en github.dev que le permite interactuar con GitHub en su nombre\u00bb, dijo Askar. \u00abEl token no tiene como alcance el repositorio particular con el que interactu\u00f3, lo que significa que tiene acceso completo a todos los dem\u00e1s repositorios a los que tiene acceso\u00bb.<\/p>\n

En pocas palabras, la vulnerabilidad permite a los atacantes instalar extensiones maliciosas de VS Code que roban tokens GitHub OAuth cuando se pasan a GitHub.dev mediante la explotaci\u00f3n de un mecanismo de paso de mensajes<\/a> entre la ventana principal de VS Code y vistas web<\/a>. Las vistas web se utilizan para representar vistas previas de Markdown o editar cuadernos de Jupyter.<\/p>\n

\"\"<\/a><\/div>\n

Espec\u00edficamente, el exploit ejecuta JavaScript malicioso dentro de una vista web que no es de confianza para simular pulsaciones de teclas (tambi\u00e9n conocidas como eventos de pulsaci\u00f3n de teclas) en la ventana principal del editor, abre la paleta de comandos activando \u00abCtrl+Shift+P\u00bb e instala una extensi\u00f3n controlada por el atacante que extrae el token GitHub OAuth enviado a GitHub.dev y consulta la API de GitHub para enumerar todos los repositorios privados a los que puede acceder la v\u00edctima.<\/p>\n

Vale la pena se\u00f1alar que el enfoque tambi\u00e9n aprovecha una caracter\u00edstica de VS Code llamada extensiones de espacio de trabajo local<\/a> que permite instalar una extensi\u00f3n directamente sin presentar ning\u00fan adicional mensaje de di\u00e1logo de confianza<\/a> siempre y cuando est\u00e9 ubicado en la carpeta \u00ab.vscode\/extensions\u00bb dentro de ese espacio de trabajo, evitando efectivamente la verificaci\u00f3n de confianza del editor.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

\u00abSin embargo, esto es s\u00f3lo un peque\u00f1o inconveniente, una de las cosas que las extensiones pueden hacer como parte de su paquete.json es contribuir con combinaciones de teclas adicionales a VS Code\u00bb, explic\u00f3 el investigador. \u00abDado que podemos activar combinaciones de teclas de manera confiable, podemos simplemente agregar una combinaci\u00f3n de teclas para cualquier comando de VS Code que queramos, como instalar una extensi\u00f3n y omitir la verificaci\u00f3n del editor confiable\u00bb.<\/p>\n

El investigador tambi\u00e9n se\u00f1al\u00f3 que GitHub era notificado<\/a> de la vulnerabilidad el 2 de junio de 2026, una hora despu\u00e9s de la cual los detalles del problema se hicieron p\u00fablicos, citando a Microsoft manejo<\/a> de Errores relacionados con VS Code<\/a> en el pasado. Al momento de escribir este art\u00edculo, Microsoft reconoci\u00f3 la vulnerabilidad y se\u00f1al\u00f3 que est\u00e1 trabajando en una soluci\u00f3n.<\/p>\n

\u00abPara aclarar, este problema no afecta a VS Code Desktop\u00bb, dijo Alexandru Dima, gerente de ingenier\u00eda de software asociado de Microsoft.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Investigadores de ciberseguridad han revelado un ataque con un solo clic a trav\u00e9s de Microsoft Visual Studio Code (VS Code) que permite robar el token de GitHub de un usuario. \u00abCon solo hacer clic en un enlace, es posible que un atacante robe un token de GitHub que puede leer y escribir en sus repositorios, […]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[151,181,1306,2872,31,24,1430,931,52,360,265,703,1830,48],"class_list":["post-1061","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-atacantes","tag-ataque","tag-clic","tag-completos","tag-con","tag-cyberdefensa-mx","tag-desarrollo","tag-github","tag-los","tag-oauth","tag-permite","tag-robar","tag-solo","tag-tokens"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1061","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1061"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1061\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1061"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1061"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1061"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}