CVE-2026-75130: Prompt injection-fejl i Context7
Sårbarhed i Context7 (CVE-2026-75130) lader angribere kapre jeres AI-kodeassistent, stjæle adgangskoder og slette filer. Opdatér til nyeste version.
Hvad er det?
CVE-2026-75130 er en prompt injection-sårbarhed i Context7, et værktøj der leverer dokumentation til AI-kodeassistenter via en MCP-server. MCP (Model Context Protocol) er en standard, der lader AI-agenter som Cursor og Copilot hente information fra eksterne kilder under normalt arbejde. Sårbarheden findes i funktionen Custom AI Instructions, hvor Context7 ikke renser indhold, før det sendes videre til den tilkoblede AI-agent. En angriber kan derfor lægge skjulte kommandoer ind i disse instruktioner. Når en udvikler beder AI-agenten om helt almindelig dokumentation til et bibliotek, udfører agenten i stedet angriberens skjulte kommandoer, uden at udvikleren ser det.
Hvem rammer det?
Sårbarheden rammer alle, der bruger Context7 i version 2.1.2 eller ældre sammen med en AI-kodeassistent, der er koblet til via MCP-serveren. Det gælder typisk softwarevirksomheder, konsulenthuse og interne udviklingsteams i danske virksomheder og kommuner, der har integreret AI-assistenter som en fast del af udviklingsarbejdet. Rammen omfatter både medarbejdere, der selv har opsat Context7, og teams der bruger det via en delt eller central konfiguration.
Hvad kan ske?
En udnyttelse kan lede til, at hemmeligheder i miljøfiler, som API-nøgler, databaseadgangskoder og andre credentials, bliver sendt til en server, angriberen kontrollerer. Samme angreb kan bede AI-agenten om at slette filer på udviklerens maskine, hvilket kan ramme kildekode, konfigurationsfiler eller andet arbejde, der ikke er sikkerhedskopieret. For en dansk virksomhed betyder det risiko for datalæk af følsomme systemoplysninger og tabt arbejde, hvis filer slettes uden varsel.
Hvor alvorligt er det?
CVSS-scoren er 9,0 ud af 10, hvilket er kritisk. Angrebet kræver, at angriberen har lave rettigheder i systemet, og at et offer udfører en handling, typisk en helt normal forespørgsel om biblioteksdokumentation. Der kræves altså brugerhandling, men den handling er så almindelig, at den ikke virker mistænkelig. Konsekvensen rammer både fortrolighed, integritet og tilgængelighed i højeste grad, og angrebet kan påvirke ressourcer uden for selve Context7’s eget sikkerhedsområde. Der er ikke rapporteret aktiv udnyttelse i forbindelse med offentliggørelsen, men en teknisk beskrivelse af metoden er offentligt tilgængelig.
Hvad gør jeg nu?
Følgende trin bør gennemføres i den viste rækkefølge:
- Opdatér Context7 til en version nyere end 2.1.2, hvor sårbarheden er rettet.
- Gennemgå alle gemte Custom AI Instructions for uventet eller skjult indhold, og fjern eller nulstil dem, hvis I er i tvivl.
- Skift adgangskoder og nøgler, der ligger i miljøfiler på maskiner, hvor Context7 har været i brug, hvis I ikke kan udelukke eksponering.
- Begræns den tilkoblede AI-agents adgang til filsystemet, så den ikke kan slette eller læse filer uden for det nødvendige arbejdsområde.
- Gennemgå logs for AI-agenten for tegn på uventede handlinger, som filsletning eller netværkskald til ukendte adresser.
- Kontakt en sikkerhedsrådgiver, hvis I finder tegn på misbrug, eller hvis I ikke selv kan verificere, om jeres opsætning er ramt.
Opdatér inden for 72 timer
Vi anbefaler, at Context7 opdateres til nyeste version, og at Custom AI Instructions gennemgås, før AI-agenter igen bruges til rutineopgaver. Har jeres udviklere ikke aktivt brugt AI-agenter mod Context7 for nylig, kan opdateringen planlægges inden for en uge, men vi anbefaler ikke at vente længere, da metoden er offentligt beskrevet.
Tidslinje
Konkrete eksempler
Udviklerens rutineforespørgsel udløser angreb
En udvikler i en dansk softwarevirksomhed bruger en AI-kodeassistent koblet til Context7 til at slå op i dokumentation for et open source-bibliotek. AI-agenten følger skjulte instruktioner i det data, den henter, og sender virksomhedens API-nøgler fra en lokal miljøfil til en ekstern server. Kort efter forsøger agenten at slette projektfiler på udviklerens maskine, hvilket først opdages, da builden fejler.
Ofte stillede spørgsmål
Bruger vi overhovedet Context7?
Tjek jeres udviklingsmiljøer og AI-assistenters MCP-konfiguration. Context7 optræder typisk som en tilknyttet server eller udvidelse i værktøjer som Cursor, Copilot eller andre AI-kodeassistenter, der henter biblioteksdokumentation.
Er vi ramt, hvis vi kun bruger AI-agenten til at skrive kode, ikke til dokumentation?
Ja, hvis Context7 er tilkoblet, rammer sårbarheden allerede ved en helt almindelig forespørgsel om biblioteksdokumentation, som agenten kan stille automatisk i baggrunden under normalt arbejde.
Kan vi vente til weekenden med at opdatere?
Det kan I, hvis jeres udviklere ikke har brugt AI-agenten aktivt mod Context7 for nylig, og I i mellemtiden slår Custom AI Instructions-funktionen fra eller begrænser agentens filadgang.
Hvordan tjekker vi, om vi allerede er blevet ramt?
Gennemgå logs fra AI-agenten for netværkskald til ukendte tjenester og for filsletninger, der ikke stammer fra en bevidst handling. Kontrollér også, om miljøfiler med credentials har været tilgået uventet.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder konkrete tegn på, at credentials er blevet stjålet eller data er lækket. Find I sådanne tegn, skal I vurdere anmeldepligt efter GDPR og orientere Datatilsynet, hvis persondata er involveret.
Hvad hvis vi ikke selv har konfigureret Custom AI Instructions?
I er stadig i risiko, hvis nogen udenfor jeres organisation kan påvirke det indhold, Context7 leverer til jeres AI-agent, for eksempel via delte biblioteker eller offentlige dokumentationskilder.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
Original NVD-beskrivelse (engelsk)
Context7 through 2.1.2 contains a prompt injection vulnerability that allows attackers to execute malicious instructions in connected AI coding agents by injecting unsanitized content through the Custom AI Instructions feature served via the MCP server. Attackers can poison the custom instructions to exfiltrate credentials from environment files to an attacker-controlled service and perform destructive file deletion on the victim’s machine when the agent makes a routine library documentation request.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.