CVE-2026-26015: RCE em DocsGPT
Plataforma
nodejs
Componente
docsgpt
Corrigido em
0.16.0
A vulnerabilidade CVE-2026-26015 é uma falha de Execução Remota de Código (RCE) presente no DocsGPT, uma ferramenta de chat baseada em GPT para documentação. Um atacante pode explorar essa falha, contornando o teste MCP, para executar código arbitrário no sistema. A vulnerabilidade afeta as versões 0.15.0 até 0.15.99. A correção foi implementada na versão 0.16.0.
Impacto e Cenários de Ataque
A exploração bem-sucedida desta vulnerabilidade permite que um atacante execute código arbitrário no sistema DocsGPT. Isso pode levar ao comprometimento completo do sistema, permitindo que o atacante instale malware, roube dados confidenciais, modifique arquivos de sistema ou use o sistema como ponto de apoio para ataques adicionais na rede. O impacto é particularmente grave se o DocsGPT estiver sendo usado para acessar ou processar informações sensíveis, como código-fonte, documentação interna ou dados de clientes. A capacidade de contornar o teste MCP sugere uma falha fundamental na validação de entrada, tornando a exploração relativamente simples.
Contexto de Exploração
A vulnerabilidade foi publicada em 29 de abril de 2026. Não há informações disponíveis sobre a exploração ativa desta vulnerabilidade em campanhas direcionadas. A ausência de um Exploit Precautionary Score System (EPSS) indica uma avaliação inicial de baixa probabilidade de exploração, mas a natureza da RCE exige atenção. A existência de um bypass do teste MCP sugere que a exploração pode ser relativamente simples, aumentando o risco potencial.
Inteligência de Ameaças
Status do Exploit
EPSS
0.28% (percentil 52%)
Software Afetado
Classificação de Fraqueza (CWE)
Linha do tempo
- Publicada
- Modificada
- EPSS atualizado
Mitigação e Soluções Alternativas
A mitigação primária para CVE-2026-26015 é atualizar o DocsGPT para a versão 0.16.0 ou superior, que inclui a correção para esta vulnerabilidade. Se a atualização imediata não for possível, considere remover o DocsGPT de qualquer ambiente público ou de acesso externo até que a atualização possa ser aplicada. Como medida temporária, implemente regras de firewall para restringir o acesso ao DocsGPT apenas a fontes confiáveis. Monitore os logs do sistema em busca de atividades suspeitas, como tentativas de execução de comandos não autorizados. Não há workarounds de configuração conhecidos além da atualização.
Como corrigirtraduzindo…
Actualice DocsGPT a la versión 0.16.0 o posterior para mitigar la vulnerabilidad de ejecución remota de código. Esta actualización corrige el problema al abordar la validación de entrada en la configuración de MCP STDIO, evitando la ejecución de código malicioso.
Perguntas frequentes
O que é CVE-2026-26015 — RCE em DocsGPT?
CVE-2026-26015 é uma vulnerabilidade de Execução Remota de Código (RCE) no DocsGPT, permitindo que um atacante execute código arbitrário ao contornar o teste MCP. Afeta versões 0.15.0 até 0.15.99.
Estou afetado pelo CVE-2026-26015 em DocsGPT?
Sim, se você estiver usando o DocsGPT nas versões 0.15.0 até 0.15.99, você está afetado por esta vulnerabilidade de RCE.
Como corrigir CVE-2026-26015 em DocsGPT?
A correção é atualizar o DocsGPT para a versão 0.16.0 ou superior. Se a atualização imediata não for possível, restrinja o acesso e monitore os logs.
CVE-2026-26015 está sendo ativamente explorado?
Atualmente, não há relatos de exploração ativa em campanhas direcionadas, mas a natureza da vulnerabilidade exige atenção e mitigação imediata.
Onde posso encontrar o aviso oficial do DocsGPT para CVE-2026-26015?
Consulte o repositório oficial do DocsGPT no GitHub ou o site do projeto para obter o aviso de segurança e as instruções de atualização.
Seu projeto está afetado?
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Experimente agora — sem conta
Faça upload de qualquer manifesto (composer.lock, package-lock.json, lista de plugins WordPress…) ou cole sua lista de componentes. Receba um relatório de vulnerabilidades instantaneamente. Fazer upload de um arquivo é só o começo: com uma conta, você obtém monitoramento contínuo, alertas por Slack/email, relatórios multiprojeto e white-label.
Arraste e solte seu arquivo de dependências
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...