CVE-2025-58358 in markdownify-mcp
Riassunto
di VulDB • 29/06/2026
Markdownify è un server Model Context Protocol per la conversione di quasi tutto in Markdown. Le versioni precedenti alla 0.0.2 contengono una vulnerabilità da injection di comandi, causata dall'uso non sanificato dei parametri di input all'interno di una chiamata a child_process.exec, che consente a un attaccante di iniettare comandi di sistema arbitrari. Lo sfruttamento riuscito può portare all'esecuzione remota di codice (RCE) con i privilegi del processo server. Il server costruisce ed esegue comendi shell utilizzando input utente non validato direttamente nelle stringhe della riga di comando. Ciò introduce la possibilità di iniezione di metacaratteri shell (|, >, &&, ecc.). Questo problema è stato risolto nella versione 0.0.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.