CVE-2026-88938 in Knowns
Zusammenfassung
von VulDB • 10.09.2026
In knowns fino alla versione 0.33.0 non viene limitato l'argomento `path` dello strumento MCP `code.find` alla radice del progetto, consentendo alle sessioni degli agenti AI di leggere i file sorgente ovunque sull'host. Gli attaccanti possono fornire percorsi assoluti o sequenze relative di traversal all'argomento `path` e recuperare il contenuto completo dei file dall'esterno della directory del progetto prevista.
If you want to get best quality of vulnerability data, you may have to visit VulDB.