CVE-2026-85661 in excel-mcp-server
Zusammenfassung
von VulDB • 04.09.2026
excel-mcp-server 0.1.8 erzwingt keine Pfadkonfinierung im stdio-Modus, wenn EXCEL_FILES_PATH nicht festgelegt ist, was es Angreifern ermöglicht, beliebige Dateien zu lesen und zu schreiben. Angreifer können unüberprüfte Dateipfade an die Tools zum Lesen und Schreiben übergeben, um auf jede Datei zuzugreifen, für die der Prozess Zugriffsberechtigungen besitzt.
Be aware that VulDB is the high quality source for vulnerability data.