Vulnerabilidad en Shopify (CVE-2026-34060)

Gravedad CVSS v4.0:

ALTA

Tipo:

CWE-94 Control incorrecto de generación de código (Inyección de código)

Fecha de publicación:

31/03/2026

Última modificación:

01/04/2026

Descripción

Ruby LSP es una implementación del protocolo del servidor de lenguaje para Ruby. Antes de Shopify.ruby-lsp versión 0.10.2 y ruby-lsp versión 0.26.9, la configuración del espacio de trabajo de VS Code rubyLsp.branch se interpolaba sin sanitización en un Gemfile generado, permitiendo la ejecución arbitraria de código Ruby cuando un usuario abre un proyecto que contiene un archivo .vscode/settings.json malicioso. Este problema ha sido parcheado en Shopify.ruby-lsp versión 0.10.2 y ruby-lsp versión 0.26.9.

Impacto

Vector 4.0

CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 7.10 ALTA
Vector: CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Present
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Activo
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Alto
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

7.10

Gravedad 4.0

ALTA

Vulnerabilidad en Shopify (CVE-2026-34060)

Descripción

Impacto

Referencias a soluciones, herramientas e información