Context7 CVE-2026-75130 : correction du service hébergé et règles personnalisées non fiables

Ce que c'est

État au 25 octobre 2026. Consulter à nouveau conjointement la clarification de l’éditeur et l’avis de la CNA : leurs descriptions du périmètre affecté diffèrent. L’avis de VulnCheck daté du 18 août 2026 attribue CVE-2026-75130 à des instructions personnalisées injectées puis diffusées via Context7 et mentionne les versions jusqu’à 2.1.2 incluse. Avis de la CNA.

La clarification de Context7, publiée le 22 octobre 2026, indique que la faille se trouvait dans son service hébergé Custom Rules et que le correctif a été déployé le 23 février 2026. L’éditeur affirme que tous les paquets clients ont bénéficié de cette correction côté service, de sorte qu’aucune mise à niveau npm n’est nécessaire pour ce problème précis. Il conteste l’utilisation de la version du client pour délimiter le périmètre affecté et indique avoir demandé une correction de la fiche. Signaler explicitement ce désaccord ; rien ne justifie d’inventer un numéro de version corrigée côté client. Clarification de l’éditeur.

Pourquoi c'est important

Une documentation peut contenir des instructions utiles à un développeur sans être autorisée à diriger les outils d’un agent. Élever un texte récupéré au rang de consignes privilégiées permet à un contributeur de bibliothèque d’influencer des opérations hors de la tâche documentaire. OWASP décrit cette voie passant par du contenu externe comme une injection indirecte de prompt et recommande de séparer les contenus non fiables, de réduire les privilèges et d’exiger une approbation pour les actions sensibles. Recommandations OWASP.

Context7 indique avoir temporairement désactivé Custom Rules, ajouté un filtrage puis rétabli la fonctionnalité. Il s’agit d’une remédiation déclarée par l’éditeur pour un incident précis. Cela ne prouve pas que tout document futur sera inoffensif, ni qu’un agent devrait exécuter les demandes opérationnelles présentes dans une documentation.

Comment l'appliquer

• Consigner si l’agent utilise le service hébergé, un client local ou une intégration exploitée indépendamment. Pour une installation locale, npm ls @upstash/context7-mcp --depth=0 permet de relever la version du paquet installé ; vérifier séparément les installations globales. Il s’agit d’un inventaire, et non d’un test du correctif hébergé. npm ls.
• Conserver dans le dossier d’audit le point de terminaison du service, l’identité de la bibliothèque et la provenance du contenu récupéré. Maintenir le texte dans un canal clairement identifié comme contenant des données. Ne pas attribuer une autorité au niveau applicatif à un titre tel qu’« instructions personnalisées ».
• Supprimer l’adoption automatique de règles personnalisées distantes lorsqu’elle n’est pas nécessaire. Lorsque des règles sont nécessaires, approuver explicitement leur portée et limiter les sources documentaires admissibles. Traiter les règles mises en cache ou enregistrées comme des contenus à examiner avant réutilisation.
• N’accorder aux sessions de consultation documentaire que les outils et les identifiants nécessaires à leur tâche. Faire respecter les destinations de fichiers, les accès sortants et les approbations d’opérations sensibles en dehors du modèle. Ces contrôles appliquent les recommandations d’OWASP concernant la séparation et le moindre privilège.
• Comme contrôle d’acceptation proposé, confirmer qu’une consultation documentaire ordinaire ne peut pas accorder silencieusement de nouvelles capacités ni modifier la politique d’approbation de l’agent. Consigner les actions réelles des outils, et pas seulement la réponse finale.
• Enquêter sur les accès inattendus à des identifiants, les transferts sortants ou les modifications de fichiers après une consultation. Préserver la réponse récupérée et l’historique des appels qui ont suivi. Révoquer les identifiants si leur exposition est établie ; la seule reconstruction d’un client ne peut pas annuler la divulgation de secrets.

Pièges

Ne pas présenter l’absence antérieure de version corrigée comme la preuve que la faille du service hébergé reste sans correction. À l’inverse, l’affirmation d’un éditeur concernant son filtrage ne constitue pas une garantie indépendante contre l’injection de prompt. Distinguer l’état déclaré du correctif du service des limites de capacités imposées par l’opérateur de l’agent.