Context7 CVE-2026-75130: remediación del servicio alojado y reglas personalizadas no confiables

Qué es

Estado al 25 de octubre de 2026. Volver a consultar conjuntamente la aclaración del proveedor y el aviso de la CNA: describen de forma distinta el alcance afectado. El aviso de VulnCheck del 18 de agosto de 2026 asigna CVE-2026-75130 a instrucciones personalizadas inyectadas que se sirven a través de Context7 y enumera las versiones hasta 2.1.2. Aviso de la CNA.

La aclaración de Context7, publicada el 22 de octubre de 2026, indica que el fallo estaba en su servicio alojado Custom Rules y que la corrección se desplegó el 23 de febrero de 2026. El proveedor afirma que todos los paquetes de cliente recibieron esa remediación del lado del servicio, por lo que este problema concreto no requiere una actualización del paquete mediante npm. Cuestiona que se utilice la versión del cliente para delimitar el alcance afectado e indica que ha solicitado una corrección del registro. Comunicar expresamente esta discrepancia; no existe una base para inventar un número de versión corregida del lado del cliente. Aclaración del proveedor.

Por qué importa

La documentación puede contener instrucciones útiles para quien programa sin estar autorizada a dirigir las herramientas de un agente. Dar al texto recuperado la categoría de instrucciones privilegiadas permite a un colaborador de una biblioteca influir en operaciones ajenas a la tarea de documentación. OWASP describe esta vía a través de contenido externo como inyección indirecta de prompts y recomienda separar el material no confiable, reducir privilegios y exigir aprobación para las acciones sensibles. Recomendaciones de OWASP.

Context7 afirma que deshabilitó temporalmente Custom Rules, añadió un proceso de detección y restauró la función. Se trata de una remediación de un incidente concreto comunicada por el proveedor. No demuestra que todos los documentos futuros sean inocuos ni que un agente deba obedecer solicitudes operativas presentes en la documentación.

Cómo aplicarlo

• Registrar si el agente utiliza el servicio alojado, un cliente local o una integración operada de forma independiente. Para una instalación local, npm ls @upstash/context7-mcp --depth=0 permite registrar la versión instalada del paquete; comprobar las instalaciones globales por separado. Esto constituye un inventario, no una prueba de la corrección del servicio alojado. npm ls.
• Conservar el endpoint del servicio, la identidad de la biblioteca y la procedencia del material recuperado en el registro de auditoría. Mantener el texto en un canal de datos claramente etiquetado. No convertir un encabezado como instrucciones personalizadas en una fuente de autoridad a nivel de aplicación.
• Eliminar la adopción automática de reglas personalizadas remotas cuando no sea necesaria. Cuando se necesiten reglas, aprobar expresamente su alcance y restringir las fuentes de documentación admisibles. Tratar las reglas guardadas o en cache como material que requiere revisión antes de reutilizarse.
• Proporcionar a las sesiones de lectura de documentación únicamente las herramientas y credenciales necesarias para su tarea. Controlar los destinos de archivos, el acceso saliente y las aprobaciones de operaciones sensibles fuera del modelo. Estos controles aplican las recomendaciones de OWASP sobre separación y mínimo privilegio.
• Como comprobación de aceptación propuesta, confirmar que una consulta normal de documentación no pueda conceder silenciosamente nuevas capacidades ni cambiar la política de aprobación del agente. Registrar las acciones reales de las herramientas, no solo la respuesta final.
• Investigar los accesos inesperados a credenciales, las transferencias salientes o los cambios de archivos posteriores a una consulta. Conservar la respuesta recuperada y el historial de llamadas posterior. Revocar las credenciales si se confirma su exposición; reconstruir únicamente un cliente no permite deshacer la divulgación de secretos.

Trampas

No presentar la ausencia anterior de una versión corregida como prueba de que el fallo del servicio alojado sigue sin remediarse. A la inversa, la afirmación del proveedor sobre su proceso de detección no es una garantía independiente contra la inyección de prompts. Mantener separado el estado de corrección comunicado del servicio de los límites de capacidad que aplica el operador del agente.