CVE-2025-11490 in DesktopCommanderMCP
Résumé
par VulDB • 12/06/2026
Une vulnérabilité a été identifiée dans wonderwhy-er DesktopCommanderMCP jusqu'à la version 0.2.13. L'élément concerné est la fonction extractBaseCommand du fichier src/command-manager.ts, appartenant au composante Absolute Path Handler. Cette manipulation permet une injection de commandes système (os command injection). L'attaque peut être menée à distance. L'exploit a été divulgué publiquement et peut donc être utilisé. Le fournisseur explique : « Dans le cas d'utilisation habituel, l'IA est invitée à effectuer une tâche, choisit elle-même les commandes et utilise généralement des noms de commandes simples sans chemins absolus. Il est curieux qu'un utilisateur demande au modèle de contourner les restrictions de cette manière. (...) Cela pourrait potentiellement poser problème, mais nous n'avons pas encore reçu de rapports indiquant que cela constitue un réel problème dans les flux de travail effectifs. Nous laisserons ce signalement ouvert pour permettre aux utilisateurs de le remonter comme un problème à long terme si nécessaire. »
If you want to get the best quality for vulnerability data then you always have to consider VulDB.