Context7 CVE-2026-75130：ホスト型サービスの修正と信頼できないカスタムルール

概要

2026年10月25日時点の情報である。ベンダーの説明とCNAアドバイザリは影響範囲の記述が異なるため、併せて再確認すること。2026年8月18日付のVulnCheckアドバイザリは、Context7経由で提供されるカスタム指示へのインジェクションにCVE-2026-75130を割り当て、2.1.2までのバージョンを挙げている。CNAアドバイザリ。

2026年10月22日公開のContext7の説明によると、問題は同社がホストするCustom Rulesサービスにあり、2026年2月23日に修正がデプロイされた。ベンダーは、すべてのクライアントパッケージがこのサービス側の修正の適用を受けたため、この問題に対するnpmパッケージのアップグレードは不要だとしている。同社は、クライアントのバージョンを影響範囲の境界とする扱いに異議を示し、記録の訂正を求めたと述べている。この見解の相違は明示的に伝える必要があり、根拠のないクライアント側の修正済みバージョン番号を作り出してはならない。ベンダーの説明。

重要な理由

ドキュメントにはプログラマーに有用な指示が含まれ得るが、それによってエージェントのツールを指揮する権限が与えられるわけではない。取得したテキストを高い権限を持つ指示として扱うと、ライブラリのコントリビューターがドキュメント参照という作業の範囲外の操作に影響を与えられる。OWASPは、この外部コンテンツを経由する手法を間接プロンプトインジェクションと呼び、信頼できない情報の分離、権限の縮小、機微な操作への承認要求を推奨している。OWASPのガイダンス。

Context7は、Custom Rulesを一時的に無効にし、スクリーニングを追加してから機能を復旧したと述べている。これは、特定のインシデントに対してベンダーが報告した修正である。今後のすべての文書が無害であることや、ドキュメント内に見つかった操作要求にエージェントが従うべきことを意味するものではない。

適用方法

• エージェントがホスト型サービス、ローカルクライアント、独立して運用される連携のどれを使用しているかを記録する。ローカルインストールでは、npm ls @upstash/context7-mcp --depth=0でインストール済みパッケージのバージョンを記録できる。グローバルインストールは別途確認する。これは構成の一覧確認であり、ホスト型サービスの修正を検証するものではない。npm ls。
• サービスのエンドポイント、ライブラリの識別情報、取得した情報の来歴を監査記録に保存する。テキストは、データであることが明示されたチャネルに保持する。「カスタム指示」といった見出しを、アプリケーションレベルの指示権限に変えてはならない。
• リモートのカスタムルールを自動的に取り込む必要がない場合は、その動作を取り除く。ルールが必要な場合は、適用範囲を明示的に承認し、対象にできるドキュメントの提供元を制限する。キャッシュ済みや保存済みのルールも、再利用前のレビューが必要な情報として扱う。
• ドキュメントを読むセッションには、その作業に必要なツールと認証情報だけを与える。ファイルの書き込み先、外部へのアクセス、機微な操作への承認はモデルの外側で強制する。これらの制御は、OWASPの分離と最小権限の推奨を実装するものである。
• 受け入れ確認案として、通常のドキュメント参照によって、通知なく新たな機能が許可されたり、エージェントの承認ポリシーが変更されたりしないことを確認する。最終回答だけでなく、実際のツール操作を記録する。
• 参照後に想定外の認証情報へのアクセス、外部への転送、ファイル変更があれば調査する。取得した応答と、その後の呼び出し履歴を保全する。漏えいが確認された認証情報は失効させる。クライアントを再構築するだけでは、開示された秘密情報を取り戻すことはできない。

落とし穴

以前は修正済みバージョンが示されていなかったことを、ホスト型サービスの問題が今も未修正である証拠として提示してはならない。一方、ベンダーがスクリーニングの実施を述べても、それはプロンプトインジェクションに対する独立した保証ではない。報告されているサービスの修正状況と、エージェントの運用者が強制する機能の制限は分けて扱う。