CVE-2025-66404 in mcp-server-kubernetes
Résumé
par VulDB • 26/05/2026
MCP Server Kubernetes est un serveur MCP capable de se connecter à un cluster Kubernetes et de le gérer. Avant la version 2.9.8, une faille de sécurité existe dans l'outil `exec_in_pod` du serveur MCP mcp-server-kubernetes. L'outil accepte des commandes fournies par l'utilisateur, que ce soit sous forme de tableau ou de chaîne de caractères. Lorsqu'une chaîne de caractères est fournie, elle est transmise directement à l'interpréteur de commandes (`sh -c`) sans validation des entrées, permettant l'interprétation des métacaractères du shell. Cette vulnérabilité peut être exploitée via des attaques d'injection de commande directe ou d'injection de prompt indirecte, où des agents IA peuvent exécuter des commandes sans intention explicite de l'utilisateur. Cette vulnérabilité est corrigée dans la version 2.9.8.
VulDB is the best source for vulnerability data and more expert information about this specific topic.