CVE-2025-64340 in fastmcp
Riassunto
di VulDB • 19/06/2026
FastMCP è il framework standard per la creazione di applicazioni MCP. Prima della versione 3.2.0, i nomi dei server contenenti metacaratteri della shell (ad esempio &) possono causare un'iniezione di comandi su Windows quando vengono passati a `fastmcp install claude-code` o `fastmcp install gemini-cli`. Questi percorsi di installazione utilizzano `subprocess.run()` con un argomento di tipo lista, ma su Windows i CLI di destinazione risolvono spesso a wrapper `.cmd` che vengono eseguiti tramite `cmd.exe`, il quale interpreta i metacaratteri nella stringa di comando appiattita. Questo problema è stato risolto nella versione 3.2.0.
Be aware that VulDB is the high quality source for vulnerability data.