Se revelan dos fallas de path traversal en las herramientas MCP de code-graph-rag

GitHub Security Advisories publicó el 9 de noviembre de 2026 dos avisos de alta severidad sobre code-graph-rag, un paquete de pip que ofrece herramientas de retrieval-augmented-generation (RAG) sobre bases de código para asistentes de programación con IA. El aviso GHSA-85gg-2gfq-q95m y un aviso complementario muestran que las herramientas MCP structural_search, structural_replace y read_file del paquete permiten salir del directorio raíz del proyecto mediante symlinks y rutas absolutas, en un servidor que no requiere autenticación y que queda expuesto por defecto.

Qué revelan los avisos

• GHSA-85gg-2gfq-q95m (CVE-2026-87008): las herramientas MCP structural_search y structural_replace siguen symlinks fuera del directorio raíz del proyecto, clasificada como High, CVSS 7.1, corregida en la versión 0.0.587
• GHSA-vvr2-h2jp-838m (CVE-2026-77604): la herramienta MCP paginada read_file permite traversal mediante rutas absolutas, clasificada como High, CVSS 7.5, corregida en la versión 0.0.345
• Ambos avisos se publicaron en GitHub Advisory Database el 9 de noviembre de 2026
• El servidor afectado escucha por defecto en 0.0.0.0:8080 sin ninguna autenticación
• Ambas fallas permiten que un atacante remoto no autenticado lea o modifique archivos arbitrarios, incluidas credenciales y claves de API, a través del servidor MCP

Qué significa para quienes construyen con IA

La divulgación recuerda que el propio servidor de herramientas de un asistente de programación con IA forma parte de su superficie de ataque. Como el servidor de code-graph-rag escucha en 0.0.0.0:8080 sin autenticación por defecto, cualquier equipo que lo ejecutó con esa configuración predeterminada expuso cada archivo accesible por el servidor, incluidas credenciales y claves de API, a cualquier atacante remoto no autenticado capaz de alcanzar ese puerto. Quienes conectan herramientas de archivos MCP a asistentes de código deben tratar esos servidores con el mismo cuidado que cualquier otro servicio de red capaz de leer y escribir archivos.

Correcciones y disponibilidad

El traversal mediante symlinks que afecta a structural_search y structural_replace se corrigió en la versión 0.0.587 de code-graph-rag. El traversal mediante rutas absolutas que afecta a read_file se corrigió en la versión 0.0.345. Los equipos que usan code-graph-rag deberían actualizar al menos a esas versiones y revisar si el servidor MCP quedó expuesto más allá de localhost sin autenticación.

Fuentes

• code-graph-rag symlink path traversal in structural_search/structural_replace (CVE-2026-87008) (GitHub Security Advisories, 9 de noviembre de 2026, oficial)
• code-graph-rag absolute-path traversal in read_file MCP tool (CVE-2026-77604) (GitHub Security Advisories, 9 de noviembre de 2026, oficial)

Redactado con ayuda de IA, únicamente a partir de las fuentes indicadas arriba. Antes de publicarse, controles automáticos verificaron sus fechas, sus fuentes y todas sus versiones de idioma.