Ujawniono dwie podatności path traversal w narzędziach MCP code-graph-rag

GitHub Security Advisories opublikowało dwa zgłoszenia bezpieczeństwa o wysokiej istotności 9 listopada 2026 roku, dotyczące code-graph-rag, pakietu pip udostępniającego narzędzia retrieval-augmented-generation (RAG) do pracy z kodem dla asystentów programistycznych AI. Zgłoszenie GHSA-85gg-2gfq-q95m wraz z towarzyszącym mu zgłoszeniem pokazuje, że narzędzia MCP structural_search, structural_replace i read_file tego pakietu umożliwiają trawersację ścieżek przez dowiązania symboliczne oraz ścieżki absolutne poza katalog główny projektu, na serwerze, który domyślnie nie wymaga uwierzytelniania i jest wystawiony na świat.

Co ujawniają zgłoszenia

• GHSA-85gg-2gfq-q95m (CVE-2026-87008): narzędzia MCP structural_search i structural_replace podążają za dowiązaniami symbolicznymi poza katalog główny projektu, ocena High, CVSS 7.1, poprawione w wersji 0.0.587
• GHSA-vvr2-h2jp-838m (CVE-2026-77604): paginowane narzędzie MCP read_file umożliwia trawersację przez ścieżki absolutne, ocena High, CVSS 7.5, poprawione w wersji 0.0.345
• Oba zgłoszenia opublikowano w GitHub Advisory Database 9 listopada 2026 roku
• Podatny serwer domyślnie nasłuchuje na 0.0.0.0:8080 bez żadnego uwierzytelniania
• Obie podatności pozwalają nieuwierzytelnionemu atakującemu zdalnie odczytywać lub modyfikować dowolne pliki, w tym dane uwierzytelniające i klucze API, poprzez serwer MCP

Co to znaczy dla osób budujących z AI

To ujawnienie przypomina, że własny serwer narzędzi asystenta programistycznego AI jest częścią jego powierzchni ataku. Ponieważ serwer code-graph-rag domyślnie nasłuchuje na 0.0.0.0:8080 bez uwierzytelniania, każdy zespół, który uruchomił go z tą domyślną konfiguracją, wystawił każdy plik dostępny dla serwera, w tym dane uwierzytelniające i klucze API, na dowolnego nieuwierzytelnionego, zdalnego atakującego mogącego dosięgnąć tego portu. Osoby łączące narzędzia plikowe MCP z asystentami kodowania powinny traktować takie serwery z taką samą ostrożnością jak każdą inną usługę sieciową, która może odczytywać i zapisywać pliki.

Poprawki i dostępność

Trawersacja przez dowiązania symboliczne dotycząca structural_search i structural_replace została poprawiona w wersji 0.0.587 pakietu code-graph-rag. Trawersacja przez ścieżki absolutne dotycząca read_file została poprawiona w wersji 0.0.345. Zespoły korzystające z code-graph-rag powinny zaktualizować pakiet przynajmniej do tych wersji i sprawdzić, czy serwer MCP nie jest wystawiony poza localhost bez uwierzytelniania.

Źródła

• code-graph-rag symlink path traversal in structural_search/structural_replace (CVE-2026-87008) (GitHub Security Advisories, 9 listopada 2026, oficjalne)
• code-graph-rag absolute-path traversal in read_file MCP tool (CVE-2026-77604) (GitHub Security Advisories, 9 listopada 2026, oficjalne)

Tekst przygotowany z pomocą AI wyłącznie na podstawie źródeł wymienionych powyżej. Zanim trafił na stronę, przeszedł automatyczną kontrolę dat, źródeł i wszystkich wersji językowych.