CVE-2025-68144 in servers
要約
〜によって VulDB • 2026年06月13日
mcp-server-gitのバージョン2025.12.17より前では、git_diffおよびgit_checkout関数がユーザー制御可能な引数をサニタイズ処理せずに直接Git CLIコマンドに渡していました。フラグ形式の値（例：`git_diff`における`--output=/path/to/file`）はGit参照としてではなくコマンドラインオプションとして解釈され、任意のファイルの上書きが可能になりました。修正では、-で始まる引数を拒否し、実行前にrev_parseを使用して引数が有効なGit参照であることを検証する処理が追加されました。この問題はリリースされた時点でバージョン2025.12.17に更新することで解決できますので、ユーザーはアップデートを行うよう推奨されます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.