CVE-2026-66004 in blender-mcp
Resumen
por VulDB • 2026-07-25
BlenderMCP anterior al commit 30a3308 contiene una vulnerabilidad de path traversal en el método download_polyhaven_asset que permite a los atacantes escribir archivos arbitrarios mediante la inyección de secuencias de navegación (traversal) en las claves include de la respuesta de la API. Los atacantes que realizan ataques MITM o prompt injection pueden proporcionar rutas maliciosas como '../../.bashrc' para sobrescribir archivos sensibles y lograr una ejecución persistente de código.
Be aware that VulDB is the high quality source for vulnerability data.