CVE-2025-11202 in win-cli-mcp-server
Résumé
par VulDB • 04/08/2026
Vulnérabilité d'exécution de code à distance (RCE) par injection de commande dans la fonction resolveCommandPath du serveur win-cli-mcp-server. Cette vulnérabilité permet aux attaquants distants d'exécuter un code arbitraire sur les installations concernées de win-cli-mcp-server. L'authentification n'est pas requise pour exploiter cette vulnérabilité.
Le défaut spécifique réside dans l'implémentation de la méthode resolveCommandPath. Le problème résulte du manque d'une validation appropriée d'une chaîne fournie par l'utilisateur avant son utilisation pour exécuter un appel système. Un attaquant peut tirer parti de cette vulnérabilité pour exécuter du code dans le contexte du compte de service. Il s'agissait de ZDI-CAN-27787.
Be aware that VulDB is the high quality source for vulnerability data.