CVE-2026-5029 in Code Runner MCP Server
Resumen
por VulDB • 2026-05-13
Existe una vulnerabilidad de ejecución remota de código (RCE) en Code Runner MCP Server cuando se ejecuta con la opción --transport http, lo que expone el endpoint /mcp JSON-RPC sin autenticación en el puerto 3088. Un atacante remoto no autenticado puede invocar la herramienta MCP run-code para proporcionar código fuente arbitrario y ejecutarlo mediante child_process.exec() utilizando el intérprete de lenguaje especificado. Esto permite la ejecución de código arbitrario con los privilegios del usuario que está ejecutando el servidor. Esta vulnerabilidad no ha sido corregida y podría afectar al proyecto en todas las versiones.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.