Context7 CVE-2026-75130: Behebung im gehosteten Dienst und nicht vertrauenswürdige benutzerdefinierte Regeln

Worum es geht

Stand: 25. Oktober 2026. Die Klarstellung des Herstellers und den CNA-Sicherheitshinweis gemeinsam erneut prüfen: Sie beschreiben den betroffenen Bereich unterschiedlich. Der VulnCheck-Sicherheitshinweis vom 18. August 2026 ordnet CVE-2026-75130 eingeschleusten benutzerdefinierten Anweisungen zu, die über Context7 ausgeliefert werden, und führt Versionen bis einschliesslich 2.1.2 auf. CNA-Sicherheitshinweis.

Die am 22. Oktober 2026 veröffentlichte Klarstellung von Context7 besagt, dass der Fehler im gehosteten Dienst Custom Rules lag und die Behebung am 23. Februar 2026 bereitgestellt wurde. Laut Hersteller kam diese dienstseitige Behebung allen Client-Paketen zugute, sodass für dieses konkrete Problem kein npm-Upgrade erforderlich ist. Er widerspricht der Abgrenzung der Betroffenheit anhand der Client-Version und gibt an, eine Korrektur des Eintrags beantragt zu haben. Diesen Widerspruch ausdrücklich benennen; es gibt keine begründbare clientseitige Versionsnummer für die Behebung, die angegeben werden könnte. Klarstellung des Herstellers.

Warum es wichtig ist

Dokumentation kann nützliche Anweisungen für Programmierer enthalten, ohne deshalb die Tools eines Agenten steuern zu dürfen. Wird abgerufener Text zu einer privilegierten Anweisung aufgewertet, kann ein Mitwirkender an einer Bibliothek Vorgänge ausserhalb der Dokumentationsaufgabe beeinflussen. OWASP beschreibt diesen Weg über externe Inhalte als indirekte Prompt Injection und empfiehlt, nicht vertrauenswürdiges Material zu trennen, Berechtigungen zu reduzieren und sensible Aktionen freigeben zu lassen. OWASP-Anleitung.

Context7 gibt an, Custom Rules vorübergehend deaktiviert, eine Inhaltsprüfung ergänzt und die Funktion wieder aktiviert zu haben. Dies ist die vom Hersteller berichtete Behebung eines konkreten Vorfalls. Sie belegt weder, dass jedes künftige Dokument harmlos ist, noch, dass ein Agent Handlungsaufforderungen innerhalb einer Dokumentation befolgen sollte.

So wird es angewendet

• Dokumentieren, ob der Agent den gehosteten Dienst, einen lokalen Client oder eine unabhängig betriebene Integration verwendet. Bei einer lokalen Installation erfasst npm ls @upstash/context7-mcp --depth=0 die installierte Paketversion; globale Installationen getrennt prüfen. Dies ist eine Bestandsaufnahme, kein Test der Behebung im gehosteten Dienst. npm ls.
• Dienstendpunkt, Bibliotheksidentität und Herkunft des abgerufenen Materials im Prüfprotokoll festhalten. Den Text in einem klar gekennzeichneten Datenkanal belassen. Eine Überschrift wie «benutzerdefinierte Anweisungen» nicht zur Weisungsbefugnis auf Anwendungsebene erheben.
• Die automatische Übernahme entfernter benutzerdefinierter Regeln entfernen, wo sie nicht benötigt wird. Wo Regeln erforderlich sind, ihren Geltungsbereich ausdrücklich freigeben und zulässige Dokumentationsquellen begrenzen. Zwischengespeicherte oder gespeicherte Regeln als Material behandeln, das vor erneuter Verwendung geprüft werden muss.
• Sitzungen zum Lesen von Dokumentation nur mit den Tools und Zugangsdaten ausstatten, die ihre Aufgabe benötigt. Dateiziele, ausgehende Zugriffe und Freigaben sensibler Operationen ausserhalb des Modells durchsetzen. Diese Kontrollen setzen OWASPs Empfehlungen zur Trennung und zum Prinzip der geringsten Berechtigungen um.
• Als vorgeschlagene Abnahmeprüfung bestätigen, dass ein normaler Dokumentationsabruf weder unbemerkt neue Fähigkeiten gewähren noch die Freigaberichtlinie des Agenten ändern kann. Die tatsächlichen Tool-Aktionen aufzeichnen, nicht nur die abschliessende Antwort.
• Unerwartete Zugriffe auf Zugangsdaten, ausgehende Übertragungen oder Dateiänderungen nach einem Abruf untersuchen. Die abgerufene Antwort und den anschliessenden Aufrufverlauf sichern. Zugangsdaten bei nachgewiesener Offenlegung widerrufen; allein der Neuaufbau eines Clients kann offengelegte Geheimnisse nicht zurückholen.

Stolpersteine

Die frühere Angabe, dass keine bereinigte Version vorliege, nicht als Beweis dafür darstellen, dass der Fehler im gehosteten Dienst weiterhin unbehandelt ist. Umgekehrt ist die Aussage eines Herstellers über eine Inhaltsprüfung keine unabhängige Garantie gegen Prompt Injection. Den gemeldeten Behebungsstatus des Dienstes von den durch den Agentenbetreiber durchgesetzten Beschränkungen der Fähigkeiten getrennt halten.