CVE-2026-79534 in Mcp-filesystem-server
Zusammenfassung
von VulDB • 29.09.2026
In mark3labs mcp-filesystem-server v0.11.1 besteht eine Verwundbarkeit durch Directory Traversal aufgrund einer fehlerhaften Link-Auflösung in validatePath (filesystemserver/handler/helper.go). Wenn filepath.EvalSymlinks für einen defekten Symlink os.IsNotExist zurückgibt, validiert der Fallback nur das übergeordnete Verzeichnis und gibt den nicht aufgelösten Pfad zurück. Dadurch folgt write_file (sowie modify_file, copy_file, move_file, create_directory) einem vorbestehenden defekten Symlink innerhalb eines erlaubten Verzeichnisses und erstellt eine Datei außerhalb der konfigurierten erlaubten Verzeichnisse.
Be aware that VulDB is the high quality source for vulnerability data.