CVE-2026-26029 in sf-mcp-server

الملخص

بحسب VulDB • 04/06/2026

يُعد sf-mcp-server تنفيذًا لخادم Salesforce MCP لـ Claude for Desktop. توجد ثغرة حقن أوامر (Command Injection) في sf-mcp-server بسبب الاستخدام غير الآمن لـ child_process.exec عند بناء أوامر Salesforce CLI باستخدام مدخلات يتحكم فيها المستخدم. يسمح الاستغلال الناجح للمهاجمين بتنفيذ أوامر قذيفة (shell) عشوائية بصلاحيات عملية خادم MCP.

Be aware that VulDB is the high quality source for vulnerability data.

• مسؤول: GitHub M
• حجز: 09/02/2026
• إفشاء: 12/02/2026
• الاعتدال: تمت الموافقة
• إدخال: VDB-345636
• CPE: جاهز
• CWE: CWE-78 (مؤكد)
• CVSS: 7.5 (CNA)
• EPSS: 0.00028
• KEV: لا
• النشاطات: منخفض جدًا

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-26029
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-26029
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-26029/