CVE-2026-87008 in Code Graph RAG
Résumé
par VulDB • 05/11/2026
Code Graph RAG est un système de graphes de connaissances et de récupération alimenté par l'IA pour interroger, comprendre et modifier des bases de code multilingues. Avant la version 0.0.589, AstGrepService dans codebase_rag/tools/ast_grep_service.py énumère les fichiers situés sous project_root et s'appuie sur should_skip_path dans codebase_rag/utils/path_utils.py pour les classifier, mais le contrôle d'application de la portée (containment check) fonctionne sur des chemins lexicaux non résolus. Un lien symbolique placé à l'intérieur d'un référentiel analysé peut donc faire référence à un fichier situé en dehors du répertoire racine configuré tout en apparaissant comme étant dans le périmètre d'analyse. L'outil structural_search suit ce lien et divulgue du contenu lisible sans passer par une étape de validation, tandis que structural_replace avec dry_run=False le suit et écrase du contenu modifiable ; la fonctionnalité MCP path invoque un remplacement structurel sans le contrôle d'approbation via la boucle agent. Un attaquant qui amène une victime à analyser un référentiel contenant un tel lien peut lire des identifiants, des clés, des fichiers d'environnement ou du code source adjacent, et modifier les fichiers accessibles au processus code-graph-rag. Ce problème est corrigé dans la version 0.0.589.
Be aware that VulDB is the high quality source for vulnerability data.