PT-2026-35960 · Docsgpt · Docsgpt

Mosesox · Publicado 2026-04-29 · Atualizado 2026-06-05 · CVE-2026-26015

Positive Technologies (AI Summary) · Pt

CVSS v4.0

10

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Nome do Software Vulnerável e Versões Afetadas DocsGPT versões 0.15.0 até 0.15.x

Descrição Um invasor que acesse o site oficial ou qualquer implantação local e pública pode criar um payload malicioso que ignora o comportamento do "MCP test" para alcançar a execução remota de código (RCE), que é a capacidade de executar qualquer comando na máquina alvo.

Recomendações Atualizar para a versão 0.16.0.

Exploit

Correção

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

CVE-2026-26015

Produtos afetados

Docsgpt

Referências · 9

• 🔥 https://github.com/arc53/DocsGPT/security/advisories/GHSA-gcrq-f296-2j74 · Exploit
• https://github.com/arc53/DocsGPT/releases/tag/0.16.0 · Nota
• https://twitter.com/lyrie_ai/status/2062833398503157769 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-26015 · Nota de Segurança
• https://twitter.com/lyrie_ai/status/2062833397613949196 · Publicação no Twitter
• https://ox.security/blog/the-mother-of-all-ai-supply-chains-critical-systemic-vulnerability-at-the-core-of-the-mcp · Nota
• https://ox.security/blog/mcp-supply-chain-advisory-rce-vulnerabilities-across-the-ai-ecosystem · Nota
• https://twitter.com/lyrie_ai/status/2053672842554695934 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2049578383009616087 · Publicação no Twitter