Claude Code 2.1.319 y 2.1.321 cierran un escape del sandbox de worktrees y una fuga de tokens OAuth de MCP. Actualiza ya
- Qué pasó
- Claude Code 2.1.319 (6 de noviembre) corrige un escape del sandbox de worktrees y varias evasiones de permisos de Bash, y cambia el modo auto detrás de gateways; 2.1.321 (9 de noviembre) corrige el envío de tokens de refresco de OAuth de MCP a un host de redirección y más evasiones de Bash.
- Por qué importa
- Son correcciones de seguridad anunciadas solo como líneas del registro de cambios, sin CVE ni aviso, así que es improbable que los escáneres de vulnerabilidades y las fuentes de avisos marquen las versiones antiguas.
- Qué hacer
- Actualiza a 2.1.321 en todas partes (incluye 2.1.319), rota los tokens de refresco de OAuth de MCP si un servidor de terceros pudo haber redirigido, y revisa el cambio del modo auto si trabajas detrás de un gateway.
Veredicto: actualiza a 2.1.321 hoy (incluye 2.1.319). El registro de cambios de Claude Code lista ocho correcciones de seguridad en dos versiones separadas por tres días: un escape del sandbox, una fuga de tokens y seis evasiones de permisos o del sandbox. Ninguna tiene CVE ni aviso, así que si sigues la seguridad de Claude Code a través de fuentes de avisos o escáneres, no te han avisado. Nuestro veredicto sobre claude-code se mantiene en condicional: las correcciones son bienvenidas, pero notificar la seguridad con líneas del registro de cambios es exactamente la razón por la que no está más arriba.
Qué ha pasado
Anthropic publicó Claude Code 2.1.319 el 6 de noviembre de 2026 y 2.1.321 el 9 de noviembre de 2026. La versión 2.1.320 no aparece en el registro de cambios. Cuando consultamos el registro de cambios el 10 de noviembre, listaba estas correcciones, citadas tal cual:
2.1.321 (9 de noviembre)
- «Se corrigió que las peticiones OAuth de MCP enviaran secretos como tokens de refresco a otro host cuando un servidor las redirigía»
- «Se corrigió un caso en el que un comando Bash de solo lectura se ejecutaba fuera del sandbox sin un aviso de permiso»
- «Se corrigió un caso en el que las comprobaciones de permisos de Bash evaluaban una escritura de archivo desde la carpeta equivocada y no pedían permiso»
- «Se corrigió que las reglas de denegación y los avisos de archivos protegidos no se aplicaran al archivo que escribe un
cpomvdentro de un directorio»
2.1.319 (6 de noviembre)
- «Se corrigió un escape del sandbox al crear un worktree»
- «Se corrigió una evasión de permisos de Bash en la que un prefijo de entorno manipulado podía ocultar parte de un comando a las comprobaciones de permisos»
- «Se corrigió un caso en el que un comando
sedpodía saltarse la comprobación de permisos en los modos accept-edits y auto» - «Se corrigió un caso en el que
/rewindpodía restaurar o eliminar un archivo a través de un symlink de directorio»
Un cambio de comportamiento para los usuarios de gateways (2.1.319)
2.1.319 cambia el modo auto cuando la telemetría o las feature flags están desactivadas, incluido detrás de gateways LLM: «las llamadas que el servidor no puede comprobar se preguntan o se deniegan, sin pasar al clasificador integrado». Definir CLAUDE_CODE_AUTO_MODE_SERVER=0 mantiene el clasificador integrado. El registro de cambios indica que Bedrock, Vertex y Foundry no cambian.
Por qué importa
De nuevo, son correcciones de seguridad publicadas como líneas normales del registro de cambios. Tres de ellas merecen prioridad.
- Redirección de OAuth de MCP. Si te conectas a servidores MCP que no operas tú, una redirección podía llevar tu token de refresco a otro host. Eso es una exposición de credenciales, no solo un aviso que dejaste pasar.
- Escape del sandbox de worktrees. Cualquiera que confíe en el sandbox al ejecutar agentes en paralelo en worktrees estaba menos contenido de lo que suponía.
- Evasiones de permisos. Las correcciones del prefijo de entorno,
sed, la carpeta equivocada ycp/mvdescriben comandos que podían colarse por las comprobaciones de las que dependen los modos accept-edits y auto.
Qué cambia para ti
| Tu situación | Qué hacer |
|---|---|
| Cualquier usuario de Claude Code | Actualiza a 2.1.321 (que incluye 2.1.319) en cada máquina y runner de CI. |
| Usas servidores MCP de terceros con OAuth | Comprueba a qué hosts redirigen y rota los tokens de refresco donde no puedas descartar una redirección a otro host. |
| Ejecutas agentes en worktrees con el sandbox activado | Actualiza antes de tu próxima ejecución en paralelo; trata las ejecuciones anteriores como menos contenidas de lo previsto. |
| Estás detrás de un gateway LLM con la telemetría o las flags desactivadas | Espera más avisos o denegaciones en el modo auto, o define CLAUDE_CODE_AUTO_MODE_SERVER=0. |
Preguntas frecuentes
¿Hay un CVE para alguna de estas correcciones? No. El registro de cambios es la única notificación, así que es improbable que los escáneres de vulnerabilidades y las fuentes de avisos marquen las versiones antiguas.
¿Necesito instalar primero 2.1.319? No. Instalar 2.1.321 incluye todo lo de 2.1.319.
¿El cambio del modo auto afecta a Bedrock, Vertex o Foundry? No. El registro de cambios indica que esos proveedores no cambian.
Qué hacer
- 1 Actualiza Claude Code a 2.1.321 (que incluye 2.1.319) en cada máquina y runner.
- 2 Si usas servidores MCP con OAuth, comprueba a qué hosts redirigen y rota los tokens de refresco si un servidor que no controlas pudo haber redirigido peticiones.
- 3 Detrás de un gateway LLM con la telemetría o las feature flags desactivadas, espera que el modo auto pregunte o deniegue donde antes pasaba al clasificador integrado, o define CLAUDE_CODE_AUTO_MODE_SERVER=0 para mantener el comportamiento anterior.
Herramientas y modelos afectados
No vuelvas a tener que ponerte al día
El resumen semanal: solo cambios de veredicto y acciones urgentes. Sin relleno.