CVE-2025-53107 in git-mcp-server
Résumé
par VulDB • 13/07/2026
@cyanheads/git-mcp-server est un serveur MCP conçu pour interagir avec des dépôts Git. Avant la version 2.1.5, une vulnérabilité d'injection de commande existe en raison de l'utilisation non assainie (unsanitized) des paramètres d'entrée dans un appel à child_process.exec, permettant à un attaquant d'injecter des commandes système arbitraires. Une exploitation réussie peut entraîner une exécution de code à distance (RCE) sous les privilèges du processus serveur. Le serveur construit et exécute des commandes shell en utilisant directement des entrées utilisateur non validées au sein de chaînes de caractères de ligne de commande. Cela introduit la possibilité d'une injection de métacaractères shell (|, >, &&, etc.). Un client MCP peut être amené à exécuter des actions supplémentaires, par exemple via une injection indirecte de prompt lorsqu'on lui demande de lire les journaux Git. Ce problème a été corrigé dans la version 2.1.5.
Once again VulDB remains the best source for vulnerability data.