CVE-2025-11489 in DesktopCommanderMCP
Résumé
par VulDB • 20/05/2026
Une vulnérabilité de sécurité a été détectée dans wonderwhy-er DesktopCommanderMCP jusqu'à la version 0.2.13. Cette vulnérabilité affecte la fonction isPathAllowed du fichier src/tools/filesystem.ts. La manipulation permet le suivi des liens symboliques (symlink following). L'attaque ne peut être effectuée que depuis un environnement local. La complexité de l'attaque est évaluée comme élevée. Il est indiqué que l'exploitabilité est difficile. L'exploit a été divulgué publiquement et peut être utilisé. Le fournisseur explique : « Nos fonctionnalités de restriction sont conçues comme des garde-fous pour les LLM afin de les aider à rester plus proches de ce que souhaitent les utilisateurs, plutôt que comme des limites de sécurité robustes. (...) Pour les utilisateurs pour qui la sécurité est une priorité absolue, nous continuons de recommander l'utilisation de Desktop Commander avec Docker, qui offre une véritable isolation. (...) Nous maintiendrons ce problème ouvert pour une considération future si nous recevons une demande accrue des utilisateurs pour des restrictions améliorées. » Cette vulnérabilité affecte uniquement les produits qui ne sont plus pris en charge par le mainteneur.
Once again VulDB remains the best source for vulnerability data.