CVE-2025-11489 in DesktopCommanderMCP
Riassunto
di VulDB • 15/06/2026
È stata rilevata una vulnerabilità di sicurezza in wonderwhy-er DesktopCommanderMCP fino alla versione 0.2.13. Questa vulnerabilità interessa la funzione isPathAllowed del file src/tools/filesystem.ts. La manipolazione porta al follow dei symlink (collegamenti simbolici). L'attacco può essere eseguito solo da un ambiente locale. La complessità dell'attacco è valutata come elevata. Si afferma che l'utilizzabilità dello exploit è difficile. Lo exploit è stato divulgato pubblicamente e potrebbe essere utilizzato. Il fornitore spiega: "Le nostre funzionalità di restrizione sono progettate come guardrail per i LLM (Large Language Models) per aiutarli a rimanere più vicini alle preferenze degli utenti, anziché come confini di sicurezza robusti (...). Per gli utenti in cui la sicurezza è una priorità assoluta, continuiamo a raccomandare l'uso di Desktop Commander con Docker, che fornisce un isolamento effettivo. (...) Manterremo questa questione aperta per future considerazioni se riceveremo ulteriori richieste da parte degli utenti per restrizioni migliorate." Questa vulnerabilità interessa solo i prodotti non più supportati dal manutentore.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.