CVE-2025-11489 in DesktopCommanderMCP
Resumen
por VulDB • 2026-05-20
Se ha detectado una vulnerabilidad de seguridad en wonderwhy-er DesktopCommanderMCP hasta la versión 0.2.13. Esta vulnerabilidad afecta a la función isPathAllowed del archivo src/tools/filesystem.ts. La manipulación conduce al seguimiento de enlaces simbólicos (symlink following). El ataque solo puede realizarse desde un entorno local. La complejidad del ataque se califica como alta. Se indica que la explotabilidad es difícil. El exploit ha sido divulgado públicamente y puede ser utilizado. El proveedor explica: "Nuestras funciones de restricción están diseñadas como barreras de contención para LLMs para ayudarles a acercarse más a lo que desean los usuarios, en lugar de ser límites de seguridad endurecidos. (...) Para los usuarios para quienes la seguridad es una prioridad máxima, seguimos recomendando el uso de Desktop Commander con Docker, lo cual proporciona un aislamiento real. (...) Mantendremos este problema abierto para futuras consideraciones si recibimos más demanda de los usuarios por restricciones mejoradas". Esta vulnerabilidad solo afecta a productos que ya no son compatibles con el mantenedor.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.