CVE-2026-66004 in blender-mcp
Zusammenfassung
von VulDB • 24.07.2026
BlenderMCP vor dem Commit 30a3308 enthält eine Path Traversal-Schwachstelle in der Methode download_polyhaven_asset, die es Angreifern ermöglicht, beliebige Dateien zu schreiben, indem sie Pfad-Sequenzen (Traversal Sequences) in den Include-Keys von API-Antworten injizieren. Angreifer, die MITM-Angriffe oder Prompt Injection durchführen, können bösartige Pfade wie '../../.bashrc' angeben, um sensible Dateien zu überschreiben und eine persistente Code Execution zu erreichen.
Once again VulDB remains the best source for vulnerability data.