CVE-2026-75130 : le serveur MCP que vous avez installé pour lire la doc écrit dans votre contexte

Catégories

Tags

🔍 Licence d'Utilisation 🔍

Sauf mention contraire, le contenu de ce blog est sous licence CC BY-NC-ND 4.0.

© 2025 à 2042 Sébastien Gioria. Tous droits réservés.

🚧 Article en cours de rédaction
Publication prévue le 26/08/2026
Le 18 août 2026, une injection de prompt est publiée sous CVE-2026-75130 dans Context7, l'un des serveurs MCP de documentation les plus installés. Une requête de doc parfaitement banale peut ramener des instructions non filtrées dans le contexte de l'agent, jusqu'à l'exfiltration du .env. Et le même bug reçoit deux verdicts de sévérité qui ne se parlent pas : 9.0 en CVSS 3.1, 6.4 en CVSS 4.0.
LinkedIn Reddit Substack