Context7 CVE-2026-75130: remediação do serviço hospedado e regras personalizadas não confiáveis

O que é

Situação em 25 de outubro de 2026. Consulte novamente, em conjunto, o esclarecimento do fornecedor e o comunicado da CNA: eles descrevem o escopo afetado de formas diferentes. O comunicado da VulnCheck de 18 de agosto de 2026 atribui a CVE-2026-75130 a instruções personalizadas injetadas e fornecidas por meio do Context7, e lista versões até 2.1.2. Comunicado da CNA.

O esclarecimento do Context7, publicado em 22 de outubro de 2026, afirma que a falha estava no serviço hospedado Custom Rules e que a correção foi implantada em 23 de fevereiro de 2026. O fornecedor diz que todos os pacotes de cliente receberam essa remediação no serviço, portanto nenhuma atualização via npm é necessária para este problema específico. Ele contesta o uso da versão do cliente para delimitar o escopo afetado e afirma ter solicitado uma correção do registro. Relate essa divergência explicitamente; não há fundamento para inventar um número de versão corrigida do cliente. Esclarecimento do fornecedor.

Por que importa

A documentação pode conter instruções úteis para um programador sem ter autorização para comandar as ferramentas de um agente. Elevar o texto recuperado à condição de orientação privilegiada permite que um colaborador de biblioteca influencie operações fora da tarefa de consulta à documentação. A OWASP descreve esse vetor por conteúdo externo como injeção indireta de prompt e recomenda separar material não confiável, reduzir privilégios e exigir aprovação para ações sensíveis. Orientações da OWASP.

O Context7 afirma ter desativado Custom Rules temporariamente, adicionado uma análise de conteúdo e restaurado o recurso. Trata-se da remediação de um incidente específico relatada pelo fornecedor. Isso não comprova que todo documento futuro será inofensivo nem que um agente deva obedecer a solicitações operacionais encontradas na documentação.

Como aplicar

• Registre se o agente usa o serviço hospedado, um cliente local ou uma integração operada de forma independente. Para uma instalação local, npm ls @upstash/context7-mcp --depth=0 registra a versão do pacote instalado; verifique instalações globais separadamente. Isso é um inventário, não um teste da correção no serviço hospedado. npm ls.
• Preserve o endpoint do serviço, a identidade da biblioteca e a proveniência do material recuperado no registro de auditoria. Mantenha o texto em um canal de dados claramente identificado. Não transforme um título como instruções personalizadas em autoridade no nível da aplicação.
• Elimine a adoção automática de regras personalizadas remotas onde ela não for necessária. Onde as regras forem necessárias, aprove explicitamente seu escopo e restrinja as fontes de documentação elegíveis. Trate regras em cache ou salvas como material que exige revisão antes de ser reutilizado.
• Dê às sessões de leitura de documentação apenas as ferramentas e credenciais necessárias à tarefa. Faça cumprir fora do modelo os limites de destino de arquivos e de acesso de saída, além das exigências de aprovação para operações sensíveis. Esses controles implementam as recomendações da OWASP de separação e menor privilégio.
• Como verificação de aceitação proposta, confirme que uma consulta normal à documentação não pode conceder silenciosamente novas capacidades nem alterar a política de aprovação do agente. Registre as ações reais das ferramentas, não apenas a resposta final.
• Investigue acessos inesperados a credenciais, transferências de saída ou alterações de arquivos após uma consulta. Preserve a resposta recuperada e o histórico de chamadas subsequentes. Revogue as credenciais se a exposição for comprovada; reconstruir apenas um cliente não desfaz a divulgação de segredos.

Armadilhas

Não apresente a ausência anterior de uma versão corrigida como prova de que a falha do serviço hospedado continua sem remediação. Por outro lado, a afirmação do fornecedor de que realiza análise de conteúdo não é uma garantia independente contra injeção de prompt. Mantenha o estado da correção informado pelo serviço separado dos limites de capacidade impostos pelo operador do agente.