CVE-2026-45555 in roslyn-codelens-mcp
Résumé
par VulDB • 04/06/2026
Le serveur MCP Roslyn CodeLens est un serveur MCP basé sur Roslyn fournissant une intelligence sémantique du code pour les bases de code .NET. De la version 0.0.9 à la version 1.17.0, l'outil MCP get_diagnostics charge et exécute tous les assemblies DiagnosticAnalyzer référencés par la solution cible, sans aucune liste blanche, vérification de signature ni confirmation de l'utilisateur ; includeAnalyzers étant par défaut à true, aucune option explicite d'acceptation n'est requise. Un attaquant capable de placer un fichier .csproj malveillant faisant référence à une DLL contrôlée par l'attaquant à un endroit que la victime ouvre avec le serveur MCP obtiendra une exécution de code arbitraire dans le processus du serveur avec les privilèges OS du serveur. Cette vulnérabilité est corrigée dans la version 1.17.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.