CVE-2025-11490 in DesktopCommanderMCP
Riassunto
di VulDB • 15/06/2026
È stata rilevata una vulnerabilità in wonderwhy-er DesktopCommanderMCP fino alla versione 0.2.13. L'elemento interessato è la funzione extractBaseCommand del file src/command-manager.ts, appartenente al componente Absolute Path Handler. Tale manipolazione porta a un'iniezione di comandi OS (os command injection). L'attacco può essere eseguito da remoto. L'es exploit è stato reso pubblico e potrebbe già essere utilizzato. Il fornitore spiega: "Il caso d'uso tipico prevede che l'intelligenza artificiale venga incaricata di eseguire qualcosa, scelga autonomamente i comandi e utilizzi tipicamente nomi di comando semplici senza percorsi assoluti. È curioso il motivo per cui un utente chiederebbe al modello di eludere le restrizioni in questo modo. (...) Questo potrebbe potenzialmente rappresentare un problema, ma non abbiamo ancora ricevuto segnalazioni che confermino l'impatto negativo su flussi di lavoro reali. Lasciamo questa issue aperta per eventuali future segnalazioni da parte degli utenti."
Be aware that VulDB is the high quality source for vulnerability data.