CVE-2026-26015: RCE en DocsGPT
Plataforma
nodejs
Componente
docsgpt
Corregido en
0.16.0
CVE-2026-26015 describe una vulnerabilidad de Ejecución Remota de Código (RCE) en DocsGPT, una herramienta de chat impulsada por GPT para documentación. Esta falla permite a un atacante, accediendo al sitio web oficial o a cualquier despliegue público, eludir la prueba MCP y ejecutar código arbitrario en el sistema. La vulnerabilidad afecta a las versiones de DocsGPT desde la 0.15.0 hasta, pero sin incluir, la 0.16.0, siendo corregida en esta última versión.
Impacto y Escenarios de Ataque
La ejecución remota de código (RCE) representa un riesgo crítico, ya que permite a un atacante tomar el control total del sistema DocsGPT afectado. Esto podría resultar en la exfiltración de datos confidenciales, la modificación de la documentación, la instalación de malware o el uso del sistema como punto de apoyo para ataques a otros sistemas en la red. La capacidad de eludir la prueba MCP sugiere una falta de validación adecuada de la entrada del usuario, lo que facilita la inyección de código malicioso. Un atacante podría, por ejemplo, inyectar código para robar claves API o credenciales de acceso a otros servicios.
Contexto de Explotación
La vulnerabilidad CVE-2026-26015 fue publicada el 29 de abril de 2026. No se ha reportado su explotación activa en campañas conocidas, pero la naturaleza de RCE la convierte en un objetivo atractivo para actores maliciosos. La existencia de una prueba MCP eludible sugiere que la vulnerabilidad podría ser relativamente fácil de explotar. La falta de información sobre el EPSS score indica una evaluación en curso de la probabilidad de explotación.
Inteligencia de Amenazas
Estado del Exploit
EPSS
0.28% (52% percentil)
Software Afectado
Clasificación de Debilidad (CWE)
Cronología
- Publicada
- Modificada
- EPSS actualizado
Mitigación y Workarounds
La mitigación principal para CVE-2026-26015 es actualizar DocsGPT a la versión 0.16.0 o posterior, que incluye la corrección de la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda aislar los despliegues públicos de DocsGPT para evitar el acceso externo. Aunque no existe una solución de parcheo directa, se puede considerar la implementación de un Web Application Firewall (WAF) con reglas personalizadas para detectar y bloquear intentos de inyección de código malicioso. Monitorear los logs del sistema en busca de patrones de ejecución inusuales también puede ayudar a identificar posibles explotaciones.
Cómo corregirlotraduciendo…
Actualice DocsGPT a la versión 0.16.0 o posterior para mitigar la vulnerabilidad de ejecución remota de código. Esta actualización corrige el problema al abordar la validación de entrada en la configuración de MCP STDIO, evitando la ejecución de código malicioso.
Preguntas frecuentes
What is CVE-2026-26015 — RCE en DocsGPT?
CVE-2026-26015 es una vulnerabilidad de Ejecución Remota de Código en DocsGPT que permite a un atacante ejecutar código arbitrario eludiendo la prueba MCP. Afecta a versiones 0.15.0 hasta 0.16.0.
Am I affected by CVE-2026-26015 in DocsGPT?
Sí, si está utilizando DocsGPT en la versión 0.15.0 o posterior, pero antes de la 0.16.0, es vulnerable a esta vulnerabilidad de RCE.
How do I fix CVE-2026-26015 in DocsGPT?
La solución es actualizar DocsGPT a la versión 0.16.0 o posterior. Si la actualización no es posible, aísle el despliegue público y considere un WAF.
Is CVE-2026-26015 being actively exploited?
Actualmente no se han reportado explotaciones activas conocidas, pero la naturaleza de RCE la convierte en un objetivo potencial.
Where can I find the official DocsGPT advisory for CVE-2026-26015?
Consulte la documentación oficial de DocsGPT y su página de lanzamientos para obtener la información más reciente sobre esta vulnerabilidad.
¿Tu proyecto está afectado?
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Pruébalo ahora — sin cuenta
Sube cualquier manifiesto (composer.lock, package-lock.json, lista de plugins WordPress…) o pega tu lista de componentes. Recibís un reporte de vulnerabilidades al instante. Subir un archivo es solo el primer paso: con una cuenta tenés monitoreo continuo, alertas en tu canal, multi-proyecto y reportes white-label.
Arrastra y suelta tu archivo de dependencias
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...