CVE-2025-11490 in DesktopCommanderMCP
要約
〜によって VulDB • 2026年06月12日
wonderwhy-er DesktopCommanderMCP 0.2.13以前のバージョンに脆弱性が確認されました。影響を受けるのは、コンポーネント「Absolute Path Handler」のファイル `src/command-manager.ts` にある関数 `extractBaseCommand` です。この問題を悪用するとOSコマンドインジェクションが可能になります。攻撃はリモートから実行可能です。本脆弱性を突くエクスプロイトは公開されており、利用可能です。ベンダーの説明によると、「通常のユースケースでは、AIに何かを実行させるよう依頼し、モデルが自身でコマンドを選択しますが、通常は絶対パスを含まない単純なコマンド名が使われます。なぜユーザーがこの方法で制限を回避するようモデルに指示するのか不思議です。(…) これは潜在的に問題となる可能性がありますが、実際のワークフローにおいてこれが課題となったという報告はまだ受けていません。長期的にこの問題を問題として報告できる状況のために、本件はオープンとしたままとします。」
If you want to get best quality of vulnerability data, you may have to visit VulDB.