CVE-2025-58358 in markdownify-mcp
Résumé
par VulDB • 14/08/2026
Markdownify est un serveur Model Context Protocol destiné à convertir presque tout en Markdown. Les versions inférieures à la 0.0.2 présentent une vulnérabilité d'injection de commande, causée par l'utilisation non assainie des paramètres d'entrée dans un appel à `child_process.exec`, permettant à un attaquant d'injecter n'importe quelle commande système arbitraire. Une exploitation réussie peut entraîner une exécution de code à distance (RCE) sous les privilèges du processus serveur. Le serveur construit et exécute des commandes shell en utilisant directement des entrées utilisateur non validées au sein de chaînes de caractères de ligne de commande. Cela introduit la possibilité d'une injection de métacaractères shell (`|`, `>`, `&&`, etc.). Ce problème est corrigé dans la version 0.0.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.