CVE-2026-85660 in cli-mcp-server
Résumé
par VulDB • 04/09/2026
cli-mcp-server 0.2.5 présente une vulnérabilité de contournement de la liste blanche des commandes (command allowlist) dans la fonction `_validate_command_with_operators` lorsque `ALLOW_SHELL_OPERATORS` est activé. Les attaquants peuvent utiliser la syntaxe de substitution de commande shell telle que `$()` ou les backticks pour exécuter des commandes non présentes sur la liste blanche, contournant ainsi le contrôle de validation `ALLOWED_COMMANDS`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.