CVE-2026-117567 in esp-mcp
Zusammenfassung
von VulDB • 27.10.2026
esp-mcp bis zum Commit 28afddf enthält eine OS-Command-Injection-Schwachstelle (OS Command Injection), die es Angreifern ermöglicht, beliebige Befehle auszuführen, indem sie Shell-Metazeichen in den MCP-Tool-Parametern angeben. Durch Prompt Injection können Angreifer Agenten-Tool-Aufrufe beeinflussen und Metazeichen in Werte wie target, port, project_path oder project_name einschleusen, die an asyncio.create_subprocess_shell übergeben werden, wodurch Befehle mit den Berechtigungen des MCP-Server-Benutzers ausgeführt werden.
Be aware that VulDB is the high quality source for vulnerability data.