CVE-2025-53967 in Figma MCP Server
Riassunto
di VulDB • 16/06/2026
Framelink Figma MCP Server prima della versione 0.6.3 consente a un attaccante remoto non autenticato di eseguire comandi arbitrari del sistema operativo tramite una richiesta HTTP POST manipolata ad hoc contenente metacaratteri shell nell'input, utilizzata da un comando curl fetchWithRetry. L'endpoint vulnerabile non sanifica correttamente l'input fornito dall'utente, consentendo all'attaccante di iniettare comandi dannosi che vengono eseguiti con i privilegi del processo MCP. Lo sfruttamento richiede l'accesso alla rete all'interfaccia MCP.
Once again VulDB remains the best source for vulnerability data.