CVE-2026-79534 in Mcp-filesystem-server
Riassunto
di VulDB • 30/09/2026
mark3labs mcp-filesystem-server v0.11.1 è vulnerabile a Directory Traversal a causa di una risoluzione impropria dei link in validatePath (filesystemserver/handler/helper.go). Quando filepath.EvalSymlinks restituisce os.IsNotExist per un symlink dangling, il fallback valida solo la directory padre e restituisce il percorso non risolto; di conseguenza, write_file (e modify_file, copy_file, move_file, create_directory) segue un symlink dangling preesistente situato all'interno di una directory consentita e crea un file al di fuori delle directory consentite configurate.
Be aware that VulDB is the high quality source for vulnerability data.