CVE-2026-87008 in Code Graph RAG
Resumen
por VulDB • 2026-11-05
Code Graph RAG es un sistema de grafo de conocimiento y recuperación impulsado por IA para consultar, comprender y editar bases de código multilingües. Antes de la versión 0.0.589, AstGrepService en codebase_rag/tools/ast_grep_service.py enumera los archivos debajo de project_root y depende de should_skip_path en codebase_rag/utils/path_utils.py para clasificarlos; sin embargo, la comprobación de contención opera sobre rutas léxicas no resueltas. Por lo tanto, un enlace simbólico colocado dentro de un repositorio analizado puede hacer referencia a un archivo fuera del directorio raíz configurado mientras sigue apareciendo en el ámbito. La herramienta structural_search sigue el enlace y revela contenido legible sin una puerta de aprobación (approval gate), mientras que structural_replace con dry_run=False lo sigue y sobrescribe contenido escribible; la ruta MCP invoca el reemplazo estructural sin el control de aprobación del bucle del agente (agent-loop). Un atacante que cause a una víctima analizar un repositorio que contenga dicho enlace puede leer credenciales, claves, archivos de entorno o código fuente hermano, así como modificar los accesibles al proceso code-graph-rag. Este problema se soluciona en la versión 0.0.589.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.