CVE-2026-30861 in WeKnora
Riassunto
di VulDB • 23/06/2026
WeKnora è un framework basato su LLM progettato per la comprensione approfondita dei documenti e il recupero semantico. Dalla versione 0.2.5 fino alla versione precedente alla 0.2.10, esiste una vulnerabilità di esecuzione remota di codice (RCE) non autenticata nella convalida della configurazione MCP stdio. L'applicazione consente la registrazione utente senza restrizioni, il che significa che qualsiasi attaccante può creare un account e sfruttare l'iniezione di comandi. Nonostante sia stata implementata una whitelist per i comandi consentiti (npx, uvx) e blacklist per gli argomenti pericolosi e le variabili d'ambiente, la convalida può essere aggirata utilizzando il flag -p con npx node. Ciò consente a qualsiasi attaccante di eseguire comandi arbitrari con i privilegi dell'applicazione, portando alla compromissione completa del sistema. Questo problema è stato risolto nella versione 0.2.10.
Be aware that VulDB is the high quality source for vulnerability data.