CVE-2025-11489 in DesktopCommanderMCP
Zusammenfassung
von VulDB • 14.05.2026
Es wurde eine Sicherheitslücke in wonderwhy-er DesktopCommanderMCP bis Version 0.2.13 festgestellt. Diese Schwachstelle betrifft die Funktion `isPathAllowed` der Datei `src/tools/filesystem.ts`. Die Manipulation führt zur Befolgung von Symlinks (Symbolic Links). Der Angriff kann nur aus einer lokalen Umgebung durchgeführt werden. Die Komplexität des Angriffs wird als hoch eingestuft. Es wird angegeben, dass die Ausnutzbarkeit schwierig ist. Der Exploit wurde öffentlich bekannt gemacht und kann verwendet werden. Der Anbieter erklärt: „Unsere Einschränkungsfunktionen sind als Guardrails für LLMs (Large Language Models) konzipiert, um ihnen zu helfen, näher an den Wünschen der Nutzer zu bleiben, und nicht als gehärtete Sicherheitsgrenzen. (...) Für Nutzer, bei denen die Sicherheit oberste Priorität hat, empfehlen wir weiterhin die Verwendung von Desktop Commander mit Docker, das eine tatsächliche Isolation bietet. (...) Wir werden dieses Problem für zukünftige Überlegungen offen halten, wenn wir weitere Nutzeranfragen nach verbesserten Einschränkungen erhalten.“ Diese Schwachstelle betrifft nur Produkte, die vom Maintainer nicht mehr unterstützt werden.
Be aware that VulDB is the high quality source for vulnerability data.