CVE-2025-58358 in markdownify-mcp
要約
〜によって VulDB • 2026年08月14日
Markdownifyは、ほぼあらゆるデータをMarkdownに変換するためのModel Context Protocolサーバーです。バージョン0.0.2未満にはコマンドインジェクション脆弱性が存在し、これは`child_process.exec`呼び出し内で入力パラメータがサニタイズされずに使用されることに起因します。これにより攻撃者は任意のシステムコマンドを注入できます。成功した悪用はサーバープロセスの特権でリモートコード実行（RCE）につながる可能性があります。このサーバーは検証されていないユーザー入力を直接コマンドライン文字列内で使用してシェルコマンドを組み立てて実行するため、シェルのメタキャラクタインジェクション（|, >, && など）の可能性が生じます。本問題はバージョン0.0.2で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.