Falhas de "path traversal" são divulgadas nas ferramentas de IA de código aberto Code Graph RAG

Divulgações em bases de dados de segurança publicadas em 5 de novembro de 2026 revelaram duas vulnerabilidades distintas de "path traversal" que afetam o repositório de software vitali87 Code Graph RAG, um utilitário de código aberto projetado para auxiliar sistemas de inteligência artificial na indexação e navegação em bases de código. De acordo com registros catalogados pelo serviço de monitoramento de vulnerabilidades VulDB, as falhas de segurança abrangem diferentes ramificações de desenvolvimento e componentes do pacote de software. O primeiro defeito, registrado sob a designação de rastreamento de vulnerabilidade CVE-2026-87008, afeta versões do projeto até a 0.0.588 em suas operações de utilitários de caminho. A segunda vulnerabilidade, designada como CVE-2026-77604, reside em funções de execução de ferramentas em uma ramificação de desenvolvimento paginada, afetando versões do software até a versão 0.0.344. Ambos os alertas enfatizam que operadores de sistemas que executam os pacotes de software afetados devem atualizar para versões mais recentes a fim de evitar a travessia não autorizada de diretórios.

## Key facts

- A vulnerabilidade catalogada como CVE-2026-87008 afeta o projeto vitali87 Code Graph RAG em lançamentos até a versão 0.0.588. - Uma segunda vulnerabilidade, catalogada como CVE-2026-77604, afeta o software em versões até a 0.0.344 dentro de uma ramificação de código paginada. - Ambas as vulnerabilidades são classificadas como fragilidades de "path traversal", que permitem que entradas contornem as restrições pretendidas de diretório. - Elementos de código específicos identificados nos relatórios incluem a função should_skip_path em path_utils.py e a implementação MCPToolsRegistry.read_file em tools.py. - As entradas de segurança foram formalmente publicadas pela base de dados de rastreamento de vulnerabilidades VulDB em 5 de novembro de 2026.

## What happened

De acordo com registros de divulgação inseridos pelo VulDB, duas falhas distintas de "path traversal" foram registradas contra o repositório vitali87 Code Graph RAG, evidenciando pontos arquiteturais distintos nos quais a manipulação de caminhos de arquivos falhou em restringir adequadamente entradas fornecidas por usuários ou agentes.

O primeiro problema documentado, identificado como CVE-2026-87008, envolve os mecanismos de gerenciamento de caminhos do software. Detalhes técnicos publicados pelo VulDB identificam a falha no arquivo path_utils.py, visando especificamente a função should_skip_path. Em arquiteturas de geração aumentada por recuperação (RAG), scripts de utilitários de caminho normalmente determinam quais arquivos, diretórios e extensões de arquivo devem ser analisados, ignorados ou indexados em um grafo semântico. Quando as rotinas de avaliação de caminho carecem de verificações rígidas de limites, notações de caminho relativo, como sequências de ponto-ponto-barra, podem desviar a rotina. Neste caso, o VulDB relatou que versões até a 0.0.588 contêm a falha, aconselhando administradores e desenvolvedores que utilizam o componente a implementar iterações mais recentes e corrigidas.

A segunda vulnerabilidade, registrada sob o código CVE-2026-77604, afeta uma base anterior dentro de uma ramificação paginada do software, abrangendo compilações até a versão 0.0.344. A entrada atribui a fragilidade ao script tools.py, concentrando-se especificamente no componente MCPToolsRegistry.read_file. O nome do registro indica uma integração com o Model Context Protocol, um padrão de interface amplamente utilizado para conectar grandes modelos de linguagem a ferramentas de execução externas e fontes de dados. O manipulador read_file dentro deste registro foi considerado vulnerável à travessia de diretório, criando condições sob as quais uma solicitação de leitura de arquivo poderia alcançar além do diretório raiz designado da base de código em análise. Tal como na entrada anterior, o VulDB recomendou uma atualização imediata de versão para os usuários a jusante.

## Why it matters

As vulnerabilidades de "path traversal", categorizadas nos padrões da indústria sob a entrada CWE-22 do Common Weakness Enumeration, representam uma classe fundamental de defeitos de software que trazem riscos elevados quando incorporadas a fluxos de trabalho de inteligência artificial. Em aplicações web convencionais, a travessia de diretório normalmente permite que um invasor escape dos diretórios raiz da web para visualizar arquivos confidenciais do servidor, como configurações de ambiente, registros de usuários do sistema ou código-fonte do aplicativo. Quando introduzidas em assistentes de codificação automatizados e pipelines de geração aumentada por recuperação, as implicações se expandem significativamente.

Em sistemas típicos de recuperação, um agente de inteligência artificial ou grande modelo de linguagem depende de ferramentas autônomas para explorar diretórios, ler arquivos-fonte e montar mapas contextuais. Se uma ferramenta como read_file não possuir uma higienização rigorosa, um adversário pode explorar essa fraqueza diretamente por meio de entradas manipuladas ou indiretamente através de ataques de injeção de prompt ocultos dentro de arquivos do repositório. Caso um modelo autônomo encontre instruções projetadas para acionar a ferramenta MCP com um caminho de arquivo arbitrário, um sistema vulnerável poderá ler tokens de configuração confidenciais, chaves criptográficas privadas ou dados proprietários hospedados na infraestrutura subjacente, alimentando essas informações diretamente de volta no fluxo de saída contextual do modelo. Como muitos engenheiros de software executam assistentes locais de modelos de linguagem e ferramentas de indexação de código com privilégios administrativos totais de seus ambientes de desenvolvimento locais, vulnerabilidades dessa natureza podem conceder recursos arbitrários de leitura de arquivos na estação de trabalho de um engenheiro ou no servidor de integração contínua.

## The background

A geração aumentada por recuperação, comumente conhecida como RAG, emergiu como uma arquitetura dominante para a IA generativa moderna após a rápida adoção empresarial de grandes modelos de linguagem a partir do final de 2022. Embora os modelos de base possuam um amplo conhecimento adquirido durante o treinamento, eles carecem de consciência em tempo real sobre bases de código privadas, bibliotecas internas proprietárias e repositórios técnicos de rápida evolução. Os sistemas RAG preenchem essa lacuna consultando fontes de dados externas, recuperando trechos relevantes e injetando esses trechos no prompt fornecido ao modelo de linguagem.

Para a compreensão de código-fonte, o RAG padrão baseado em vetores — que depende primordialmente da divisão de texto em blocos e de incorporações de similaridade — frequentemente se mostra inadequado. As bases de código dependem de lógica estrutural: funções chamam outras funções, classes herdam de definições pai e módulos importam dependências externas. Para lidar com essas relações estruturais, desenvolvedores criaram sistemas de "Code Graph RAG", que combinam a busca vetorial semântica com bancos de dados de grafos de conhecimento. Esses sistemas analisam árvores de sintaxe de código, mapeiam chamadores e chamados e constroem grafos estruturados que representam a arquitetura de um repositório inteiro.

À medida que os ecossistemas de IA voltados para desenvolvedores amadureceram ao longo de 2024 e 2025, padrões de interoperabilidade surgiram para normalizar a forma como os modelos interagem com ambientes externos. O Model Context Protocol, introduzido pela Anthropic no final de 2024, tornou-se rapidamente um padrão aberto popular entre ferramentas para desenvolvedores comerciais e de código aberto. O protocolo fornece um método estruturado para que agentes de IA consultem ferramentas externas — como clientes de banco de dados, motores de busca e utilitários do sistema de arquivos local — usando registros padronizados. No entanto, a integração de agentes autônomos com operações locais de arquivos introduziu severos desafios de segurança na cadeia de suprimentos e nas aplicações. Operações de arquivos padrão, como read_file ou filtros de caminho, exigem um isolamento rigoroso (sandboxing) para evitar que o modelo, ou textos maliciosos ingeridos por ele, ultrapassem o diretório pretendido do repositório. Quando utilitários de código aberto são lançados rapidamente sob versões semânticas experimentais (como lançamentos abaixo de 1.0.0), a higienização defensiva de entradas é frequentemente negligenciada em prol da iteração rápida de recursos.

## Reaction

As divulgações do VulDB não incluíram comentários públicos ou declarações do autor do repositório, Vitali87, tampouco os resumos do banco de dados registraram relatórios de incidentes externos ou exploração ativa em ambientes reais. Em ciclos padrão de gerenciamento de vulnerabilidades, mantenedores de projetos de código aberto hospedados em repositórios como o GitHub normalmente tratam tais divulgações emitindo commits que canonicalizam caminhos de arquivo, eliminam sintaxes de caminhos relativos e aplicam validações de limite antes que os arquivos sejam abertos ou avaliados.

Equipes de resposta de segurança e pesquisadores independentes que monitoram a segurança de ferramentas de IA enfatizam rotineiramente que ferramentas automatizadas operando em repositórios não confiáveis devem empregar princípios rigorosos de defesa em profundidade. As orientações da indústria de órgãos de segurança de aplicações recomendam que registros de software que implementam protocolos de chamada de ferramentas isolem todas as interações do sistema de arquivos dentro de limites de contêineres protegidos ou listas brancas explícitas de caminhos. Espera-se que desenvolvedores de software a jusante que utilizam o utilitário vitali87 Code Graph RAG em fluxos automatizados de indexação ou plataformas internas de desenvolvimento avaliem seus pipelines internos de implantação e confirmem se os pacotes instalados ultrapassam as versões 0.0.344 e 0.0.588, de acordo com os respectivos parâmetros do aviso.

## What we don't know yet

Diversos detalhes substanciais permanecem em aberto nos relatórios primários de vulnerabilidade catalogados pelo VulDB. Os registros iniciais não especificam se as brechas de segurança foram descobertas durante uma auditoria interna de código, relatadas por um pesquisador de segurança externo por meio de um processo coordenado de divulgação de vulnerabilidades ou identificadas após uma varredura automatizada de análise estática. Além disso, os resumos não indicam se as vulnerabilidades receberam pontuações oficiais de gravidade básica do Common Vulnerability Scoring System (CVSS), que determinam métricas padronizadas de impacto, incluindo vetor de ataque, complexidade e privilégios necessários.

Os comunicados de divulgação também não detalham se scripts de exploração de prova de conceito foram distribuídos publicamente ou se o mantenedor publicou versões formais de correção específicas com os respectivos hashes de commit, além da recomendação de atualização para além das versões afetadas especificadas. Permanece não confirmado se explorações ativas foram detectadas contra sistemas que utilizam o pacote, ou se o software está incorporado como dependência em ferramentas mais amplas e comerciais para desenvolvedores.

## What to watch

Organizações e desenvolvedores individuais que integram ferramentas de Code Graph RAG devem monitorar os canais de distribuição de pacotes a montante, como o Python Package Index (PyPI) ou o repositório de origem do projeto, em busca de tags de versão atualizadas que substituam formalmente a versão 0.0.588. Analistas de segurança acompanharão o National Vulnerability Database (NVD), mantido pelo National Institute of Standards and Technology dos Estados Unidos, para a atribuição de sequências de vetores CVSS oficiais e faixas padronizadas de gravidade.

Além disso, observadores devem acompanhar discussões técnicas sobre implementações de segurança do Model Context Protocol, particularmente no que diz respeito a como as ferramentas de registro lidam com a normalização de caminhos ao executar rotinas de leitura de arquivos em nome de modelos de linguagem. À medida que as ferramentas de IA de código aberto proliferam nos ambientes de engenharia corporativos, a adoção de estruturas obrigatórias de sandboxing e testes automatizados contra ataques de travessia de diretório em ferramentas orientadas por IA servirá como um parâmetro crucial para a maturidade da cadeia de suprimentos de software.

A apuração desta reportagem baseia-se em registros de divulgação de vulnerabilidades publicados pelo VulDB.