Playwright 1.64.1 incluye Chromium sin los parches para cuatro vulnerabilidades que Chrome ya corrigió, una combinación que puede exponer el equipo si un agente de IA usa la herramienta para visitar páginas maliciosas. El problema no se resuelve simplemente actualizando Playwright: según RedesZone, la versión más reciente del paquete todavía incorpora una compilación vulnerable del navegador.
Playwright permite automatizar un navegador: un programa puede abrir páginas, rellenar formularios, pulsar botones, hacer capturas o descargar archivos. Esa capacidad también sirve para agentes de IA que navegan por Internet y extraen información. El riesgo aparece cuando el agente llega a un sitio hostil y el navegador que utiliza arrastra fallos de seguridad.
Una versión reciente del paquete no basta
RedesZone identifica cuatro vulnerabilidades: CVE-2026-118306, CVE-2026-118331, CVE-2026-118348 y CVE-2026-118344. Chrome publicó correcciones para esos fallos la semana anterior a la alerta, en las versiones 156.0.8078.73/.74 para Windows y Mac y 156.0.8078.73 para Linux. La compilación incluida en Playwright es anterior a esas actualizaciones.
El detalle importa porque Playwright distribuye sus propias versiones de los navegadores. La documentación del proyecto explica que cada versión de Playwright necesita binarios de navegador concretos y que el paquete puede usar Chromium en lugar del Chrome comercial. Por eso, tener Playwright al día no garantiza que el Chromium que instala esté en la compilación corregida.
La descripción del issue #43664 en GitHub indica que Playwright 1.64.1 y su imagen Docker incluyen Chromium 156.0.8078.4, mientras que Chrome for Testing 156.0.8078.47 corrige los fallos señalados por el escáner mencionado en la petición. La descripción afirma que la herramienta detectaba 245 CVE —24 críticas y 221 altas— en esa imagen y que todas estaban corregidas en la compilación .47. Esas cifras corresponden a la petición publicada en el repositorio, no a una evaluación independiente de todos los despliegues de Playwright.
“And the Playwright SANDBOX IS OFF BY DEFAULT”
— nisten
El sandbox cambia el alcance del riesgo
La advertencia de nisten, publicada en X el 2 de noviembre, se centra también en el aislamiento. RedesZone señala que el sandbox de Playwright está desactivado por defecto. Esa barrera separa el navegador del sistema operativo: si falta, un exploit ejecutado desde una página podría operar con los privilegios del proceso y acceder, por ejemplo, a archivos del usuario.
El contexto de uso marca una diferencia. Ejecutar Playwright para probar una web propia no equivale a dar a un agente libertad para recorrer sitios de terceros, donde puede encontrarse contenido malicioso. En el segundo escenario, el navegador automatizado puede convertirse en una vía hacia los datos disponibles en la máquina que lo ejecuta.
La recomendación difundida por nisten es retirar Playwright de los agentes de IA por ahora. También propone usar Chrome con el sandbox activado, ejecutar los agentes de navegación en una máquina virtual sin credenciales reales y fijar las versiones de las herramientas. RedesZone recoge esas medidas como mitigaciones mientras persista la diferencia entre la versión de Chromium incluida y la corregida.
En GitHub, la petición para actualizar la imagen Docker avanzó después de su apertura: un cambio relacionado se incorporó al repositorio y el issue se cerró como completado el 30 de octubre. La actividad describe una modificación para que las compilaciones Docker seleccionen la versión estable de Chrome for Testing; no confirma por sí sola la publicación de una versión 1.64.x con el Chromium corregido. Por ahora, el punto práctico para quienes usan agentes es comprobar qué binario ejecutan y si el navegador está aislado.
Fuentes: RedesZone, GitHub, Debian Security Tracker, Playwright
