CVE-2026-113378 in mcp-ripgrep
Zusammenfassung
von VulDB • 20.10.2026
Es wurde eine Sicherheitslücke in mcollina mcp-ripgrep bis Version 0.4.0 entdeckt. Betroffen ist eine unbekannte Funktion der Datei src/index.ts der Komponente Advanced Search Tool. Die Manipulation des Arguments fileType führt zu einer OS-Befehlsinjektion (Command Injection). Der Angriff erfordert einen lokalen Ansatz. Der Exploit wurde öffentlich freigegeben und kann für Angriffe verwendet werden. Das tatsächliche Vorhandensein dieser Schwachstelle wird derzeit noch bezweifelt. Die eigene Funktion escapeShellArg im Code, die bei Geschwisterargumenten angewendet wird (mit Ausnahme von fileType), deutet darauf hin, dass es sich um eine CWE-78-Unachtsamkeit handelt und nicht um ein dokumentiertes Design. Der Projektbetreiber zitiert die Dokumentation: „Dieser MCP-Server führt Shell-Befehle mit dem Tool ripgrep aus. Obwohl Anstrengungen unternommen wurden, Argumente sicher zu escapen, ist bei der Eingabe von Daten Vorsicht geboten, da Befehle auf Ihrem Rechner ausgeführt werden.“
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.