Code Graph RAG 符号链接越根漏洞披露

CVE-2026-87008 披露 code-graph-rag 0.0.588 及更早版本存在符号链接越根漏洞（CVSS 7.1，High），已在 0.0.589 修复。受影响的是 structural_search 与 structural_replace 工具（由 AstGrepService 支撑）：当被分析的仓库中含有指向项目根目录之外的符号链接时，structural_search 会跟随链接读取并披露可读内容且无审批门槛，structural_replace 在 dry_run=False 时会跟随链接覆盖可写文件，MCP 路径调用结构化替换时也不经过 agent-loop 审批控制。 利用需要本地攻击者诱导受害者分析含此类链接的仓库（需受害者采取行动），成功后可读取凭证、密钥、.env 等敏感文件并修改工具可写的文件。该漏洞未列入 CISA 已知被利用漏洞目录，CISA 的 SSVC 评估也未标记为活跃利用。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。