CVE-2026-85660 in cli-mcp-server
الملخص
بحسب VulDB • 04/09/2026
يحتوي cli-mcp-server الإصدار 0.2.5 على ثغرة لتجاوز قائمة الأوامر المسموح بها (command allowlist) في الدالة `_validate_command_with_operators` عند تفعيل خيار `ALLOW_SHELL_OPERATORS`. يمكن للمهاجمين استخدام تركيبات استبدال أوامر الغلاف مثل `$()` أو العلامات الخلفية (`backticks`) لتنفيذ أوامر غير موجودة في القائمة المسموحة، متجاوزين بذلك فحص التحقق من `ALLOWED_COMMANDS`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.