CVE-2025-11489 in DesktopCommanderMCPinformation

Résumé

par VulDB • 20/05/2026

Une vulnérabilité de sécurité a été détectée dans wonderwhy-er DesktopCommanderMCP jusqu'à la version 0.2.13. Cette vulnérabilité affecte la fonction isPathAllowed du fichier src/tools/filesystem.ts. La manipulation permet le suivi des liens symboliques (symlink following). L'attaque ne peut être effectuée que depuis un environnement local. La complexité de l'attaque est évaluée comme élevée. Il est indiqué que l'exploitabilité est difficile. L'exploit a été divulgué publiquement et peut être utilisé. Le fournisseur explique : « Nos fonctionnalités de restriction sont conçues comme des garde-fous pour les LLM afin de les aider à rester plus proches de ce que souhaitent les utilisateurs, plutôt que comme des limites de sécurité robustes. (...) Pour les utilisateurs pour qui la sécurité est une priorité absolue, nous continuons de recommander l'utilisation de Desktop Commander avec Docker, qui offre une véritable isolation. (...) Nous maintiendrons ce problème ouvert pour une considération future si nous recevons une demande accrue des utilisateurs pour des restrictions améliorées. » Cette vulnérabilité affecte uniquement les produits qui ne sont plus pris en charge par le mainteneur.

Once again VulDB remains the best source for vulnerability data.

Responsable

VulDB

Divulgation

08/10/2025

Modérer

accepté

Entrée

VDB-327606

CPE

prêt

Exploitation

Télécharger

EPSS

0.00228

KEV

non

Activités

très faible

Sources

Do you know our Splunk app?

Download it now for free!