Duas falhas de path traversal reveladas nas ferramentas MCP do code-graph-rag

O GitHub Security Advisories publicou dois avisos de alta severidade em 9 de novembro de 2026 sobre o code-graph-rag, um pacote pip que oferece ferramentas de retrieval-augmented-generation (RAG) sobre bases de código para assistentes de programação com IA. O aviso GHSA-85gg-2gfq-q95m e um aviso complementar mostram que as ferramentas MCP structural_search, structural_replace e read_file do pacote permitem sair do diretório raiz do projeto por meio de symlinks e caminhos absolutos, em um servidor que não exige autenticação e fica exposto por padrão.

O que os avisos revelam

• GHSA-85gg-2gfq-q95m (CVE-2026-87008): as ferramentas MCP structural_search e structural_replace seguem symlinks para fora do diretório raiz do projeto, classificada como High, CVSS 7.1, corrigida na versão 0.0.587
• GHSA-vvr2-h2jp-838m (CVE-2026-77604): a ferramenta MCP paginada read_file permite path traversal por caminhos absolutos, classificada como High, CVSS 7.5, corrigida na versão 0.0.345
• Os dois avisos foram publicados no GitHub Advisory Database em 9 de novembro de 2026
• O servidor afetado escuta por padrão em 0.0.0.0:8080 sem nenhuma autenticação
• As duas falhas permitem que um atacante remoto não autenticado leia ou modifique arquivos arbitrários, incluindo credenciais e chaves de API, por meio do servidor MCP

O que isso significa para quem constrói com IA

A divulgação é um lembrete de que o próprio servidor de ferramentas de um assistente de programação com IA faz parte da sua superfície de ataque. Como o servidor do code-graph-rag escuta em 0.0.0.0:8080 sem autenticação por padrão, qualquer equipe que o executou com essa configuração padrão expôs cada arquivo acessível pelo servidor, incluindo credenciais e chaves de API, a qualquer atacante remoto não autenticado capaz de alcançar essa porta. Quem conecta ferramentas de arquivo MCP a assistentes de código deve tratar esses servidores com o mesmo cuidado dado a qualquer outro serviço de rede capaz de ler e escrever arquivos.

Correções e disponibilidade

O path traversal por symlinks que afeta structural_search e structural_replace foi corrigido na versão 0.0.587 do code-graph-rag. O path traversal por caminhos absolutos que afeta read_file foi corrigido na versão 0.0.345. Equipes que usam o code-graph-rag devem atualizar pelo menos para essas versões e verificar se o servidor MCP ficou exposto além do localhost sem autenticação.

Fontes

• code-graph-rag symlink path traversal in structural_search/structural_replace (CVE-2026-87008) (GitHub Security Advisories, 9 de novembro de 2026, oficial)
• code-graph-rag absolute-path traversal in read_file MCP tool (CVE-2026-77604) (GitHub Security Advisories, 9 de novembro de 2026, oficial)

Escrito com ajuda de IA, apenas a partir das fontes listadas acima. Antes de ir ao ar, verificações automáticas conferiram as datas, as fontes e todas as versões de idioma.