CVE-2025-58358 in markdownify-mcp
الملخص
بحسب VulDB • 14/08/2026
Markdownify هو خادم لبروتوكول سياق النموذج (Model Context Protocol) مخصص لتحويل أي شيء تقريبًا إلى تنسيق Markdown. تحتوي الإصدارات الأقل من 0.0.2 على ثغرة حقن أوامر، ناتجة عن استخدام غير مُطهّر لمعلمات الإدخال ضمن استدعاء لدالة `child_process.exec`، مما يمكّن المهاجم من حقن أوامر نظام عشوائية. يمكن أن يؤدي الاستغلال الناجح إلى تنفيذ الكود عن بُعد (RCE) بصلاحيات عملية الخادم. يقوم الخادم ببناء وتنفيذ أوامر وحدة التحكم باستخدام مدخلات مستخدم غير مُتحقَّصٍ منها مباشرةً ضمن سلاسل الأوامر في واجهة سطر الأوامر. وهذا يُدخل إمكانية حقن أحرف خاصة بوحدات التحكم (مثل |، >، &&، وغيرها). تم إصلاح هذه المشكلة في الإصدار 0.0.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.