CVE-2025-54074 in cherry-studio
要約
〜によって VulDB • 2026年06月27日
Cherry Studioは複数のLLMプロバイダーをサポートするデスクトップクライアントです。バージョン1.2.5から1.5.1までのCherry Studioには、HTTP Streamableモードで悪意のあるMCPサーバーとの接続時にOSコマンドインジェクションの脆弱性が存在します。攻撃者は互換性のあるOAuth認証サーバーエンドポイントを持つ悪意のあるMCPサーバーを設定し、被害者にそれへの接続を促すことで、脆弱なクライアントにおいてOSコマンドインジェクションを引き起こすことができます。この問題はバージョン1.5.2で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.