sigmade Git-MCP-Server bis 785aa159f262a02d5791a5d8a8e13c507ac42880 src/gitUtils.ts child_process.exec erweiterte Rechte

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
5.0$0-$5k0.00

Zusammenfassunginfo

Eine kritische Schwachstelle wurde in sigmade Git-MCP-Server bis 785aa159f262a02d5791a5d8a8e13c507ac42880 entdeckt. Dies betrifft die Funktion child_process.exec der Datei src/gitUtils.ts der Komponente show_merge_diff/quick_merge_summary/show_file_diff. Mit der Manipulation mit unbekannten Daten kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Diese Schwachstelle wird als CVE-2026-4496 gehandelt. Der Angriff muss lokal erfolgen. Ausserdem ist ein Exploit verfügbar. Dieses Produkt verwendet ein Rolling-Release-Modell, um eine kontinuierliche Auslieferung zu gewährleisten. Daher sind keine Versionsdetails für betroffene oder aktualisierte Releases verfügbar. Es wird empfohlen, einen Patch anzuwenden, um dieses Problem zu beheben.

Detailsinfo

In sigmade Git-MCP-Server bis 785aa159f262a02d5791a5d8a8e13c507ac42880 wurde eine kritische Schwachstelle entdeckt. Es geht um die Funktion child_process.exec der Datei src/gitUtils.ts der Komponente show_merge_diff/quick_merge_summary/show_file_diff. Dank Manipulation mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-78. Auswirkungen hat dies auf Vertraulichkeit, Integrität und Verfügbarkeit.

Bereitgestellt wird das Advisory unter github.com. Die Verwundbarkeit wird als CVE-2026-4496 geführt. Sie gilt als leicht ausnutzbar. Der Angriff muss lokal angegangen werden. Es sind technische Details sowie ein öffentlicher Exploit zur Schwachstelle bekannt. Als Angriffstechnik weist das MITRE ATT&CK Projekt die ID T1202 aus.

Der Exploit wird unter github.com bereitgestellt. Er wird als proof-of-concept gehandelt.

Die Schwachstelle lässt sich durch das Einspielen eines Patches lösen. Dieser kann von github.com bezogen werden.

Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von EUVD (EUVD-2026-13768) dokumentiert. If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Produktinfo

Typ

Hersteller

Name

Version

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CNA CVSS-B Score: 🔒
CNA CVSS-BT Score: 🔒
CNA Vector: 🔒

CVSSv3info

VulDB Meta Base Score: 5.3
VulDB Meta Temp Score: 5.0

VulDB Base Score: 5.3
VulDB Temp Score: 4.8
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CNA Base Score: 5.3
CNA Vector: 🔒

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Erweiterte Rechte
CWE: CWE-78 / CWE-77 / CWE-74
CAPEC: 🔒
ATT&CK: 🔒

Physisch: Teilweise
Lokal: Ja
Remote: Nein

Verfügbarkeit: 🔒
Zugang: öffentlich
Status: Proof-of-Concept
Download: 🔒

EPSS Score: 🔒
EPSS Percentile: 🔒

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Patch
Status: 🔍

0-Day Time: 🔒

Patch: github.com

Timelineinfo

20.03.2026 Advisory veröffentlicht
20.03.2026 +0 Tage VulDB Eintrag erstellt
27.03.2026 +6 Tage VulDB Eintrag letzte Aktualisierung

Quelleninfo

Produkt: github.com

Advisory: github.com
Status: Bestätigt

CVE: CVE-2026-4496 (🔒)
GCVE (CVE): GCVE-0-2026-4496
GCVE (VulDB): GCVE-100-352045
EUVD: 🔒
scip Labs: https://www.scip.ch/?labs.20161013

Eintraginfo

Erstellt: 20.03.2026 10:21
Aktualisierung: 27.03.2026 00:01
Anpassungen: 20.03.2026 10:21 (61), 21.03.2026 03:18 (1), 27.03.2026 00:01 (31)
Komplett: 🔍
Einsender: Yinci Chen
Cache ID: 216::103

Submitinfo

Akzeptiert

  • Submit #773796: sigmade Git-MCP-Server <=1.0.0 Command Injection (von Yinci Chen)

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you know our Splunk app?

Download it now for free!