Vulnerabilidades críticas en Chainlit exponen secretos y abren puertas a ataques en la nube

La comunidad de ciberseguridad ha encendido una alarma importante tras el hallazgo de fallos críticos en Chainlit, un marco de código abierto para crear chatbots conversacionales que se ha popularizado con millones de descargas. Investigadores de Zafran Security han identificado dos vulnerabilidades que, combinadas, permiten desde la lectura de archivos sensibles hasta la realización de peticiones internas a servicios de la red, abriendo la puerta a la exfiltración de claves de nube y movimientos laterales dentro de una organización. Puedes leer el informe de los descubridores en el blog de Zafran Security aquí, y consultar la documentación oficial de Chainlit aquí.

Chainlit, que según estadísticas públicas acumula millones de instalaciones y decenas de miles de descargas semanales, se usa para desplegar interfaces conversacionales que a menudo manejan datos sensibles y secretos de servicios en la nube. Debido a su adopción masiva, cualquier defecto en su lógica puede tener un alcance amplio: desde el robo de credenciales de API hasta el acceso al código fuente o a bases de datos internas. Las cifras de descargas y uso son públicas en sitios como PyPI Stats aquí, lo que ayuda a dimensionar el riesgo.

Los dos fallos documentados reciben las identificaciones CVE-2026-22218 y CVE-2026-22219 en el catálogo público de vulnerabilidades del NVD. El primero es una vulnerabilidad de lectura arbitraria de archivos en el flujo de actualización del elemento de proyecto (ruta "/project/element"), que permitiría a un atacante autenticado recuperar el contenido de cualquier fichero accesible por el servicio. El segundo es una vulnerabilidad de Server-Side Request Forgery (SSRF) que aparece cuando Chainlit está configurado con la capa de datos SQLAlchemy; en ese escenario, un atacante podría inducir al servidor a realizar peticiones HTTP hacia servicios internos o hacia endpoints de metadata de la nube. Los detalles técnicos de cada CVE están disponibles en la base de datos NVD: CVE-2026-22218 y CVE-2026-22219.

Lo que hace especialmente peligrosa la combinación de ambas fallas es que la lectura arbitraria de archivos puede revelar secretos que facilitan ataques posteriores: por ejemplo, acceder al contenido de "/proc/self/environ" habitualmente expone variables de entorno con claves y rutas internas que un atacante puede usar para escalar privilegios o moverse lateralmente. Si la aplicación utiliza SQLAlchemy con SQLite, también existe riesgo de exfiltrar ficheros de base de datos completos. Por su parte, el SSRF puede aprovecharse para consultar los servicios de metadata de proveedores en la nube (como los que devuelven credenciales temporales), lo que permite a un atacante obtener accesos válidos a recursos del proveedor y consolidar la intrusión.

Ante el aviso responsable reportado a finales de noviembre de 2025, los mantenedores de Chainlit publicaron una corrección en la versión 2.9.4, lanzada el 24 de diciembre de 2025. Es imprescindible que los equipos que ejecutan instancias de Chainlit actualicen a esa versión o a una posterior: la actualización corrige las validaciones en el flujo vulnerable y reduce la superficie de ataque. El parche oficial está en el repositorio de Chainlit en GitHub aquí.

Estos incidentes no son casos aislados: a medida que las empresas incorporan marcos de IA y componentes de terceros, se están reintroduciendo tipos de vulnerabilidades clásicas dentro de infraestructuras nuevas y específicas para IA. Zafran y otros investigadores alertan de que frameworks como Chainlit pueden arrastrar fallos bien conocidos —como SSRF o lectura arbitraria de archivos— al corazón de despliegues que manejan datos críticos, con consecuencias que van más allá de una aplicación concreta.

En paralelo, otra investigación divulgada recientemente por la firma BlueRock detectó una falla en el servidor MarkItDown MCP de Microsoft —apodada MCP fURI— que permite invocar URIs arbitrarias desde la herramienta de conversión, lo que igualmente abre vías para SSRF, escalada de privilegios y fuga de información cuando el servidor corre en instancias de AWS con IMDSv1 habilitado. El análisis de BlueRock indica que una proporción significativa de servidores MCP analizados podrían ser susceptibles a ataques similares; el informe completo está disponible en el blog de BlueRock aquí. Para entender mejor el riesgo del SSRF y sus implicaciones, la comunidad de seguridad recurre a recursos como OWASP sobre SSRF y a la documentación de AWS sobre cómo proteger el servicio de metadata con IMDSv2 aquí.

Ante estos hallazgos, las medidas prácticas que deben considerar los responsables de seguridad van desde la acción inmediata hasta cambios estructurales en la gestión de dependencias. En lo urgente, actualizar cualquier instalación de Chainlit a la versión que corrige los fallos es la prioridad. A continuación, conviene revisar configuraciones de red y permisos: limitar el acceso del servicio a recursos de la red interna y a metadatas de nube, ejecutar procesos con los mínimos privilegios necesarios, y almacenar credenciales usando mecanismos gestionados o rotación automática para reducir el impacto si se filtran.

A medio plazo, los equipos deben incorporar auditorías de seguridad específicas para componentes de IA, incluir pruebas de SSRF y lectura de archivos en sus pipelines de pentesting, y aplicar principios de hardening que reduzcan la exposición de metadatos y servicios internos. En entornos cloud, la adopción de IMDSv2, el bloqueo de direcciones IP privadas desde procesos no confiables y el uso de listas blancas pueden mitigar muchos vectores de exfiltración. AWS ofrece guías para aplicar IMDSv2 y endurecer el acceso a la metadata, que son un buen punto de partida aquí.

La lección es clara: la integración rápida de herramientas y frameworks de IA trae beneficios indudables, pero también arrastra riesgos clásicos a capas nuevas de la pila tecnológica. Auditar dependencias, exigir parches y diseñar entornos con límites de seguridad bien definidos son pasos imprescindibles para evitar que una vulnerabilidad aparentemente localizada termine comprometiendo cuentas cloud enteras o datos sensibles de la organización.

Si administras aplicaciones basadas en Chainlit, actualiza cuanto antes a la versión corregida y revisa logs y secretos que pudieran haberse visto comprometidos antes del parche. Para más contexto técnico y mitigaciones específicas, revisa el aviso de Zafran aquí, los registros del NVD sobre los CVE CVE-2026-22218 y CVE-2026-22219, y la corrección publicada por Chainlit en GitHub aquí.