CVE-2026-66004 in blender-mcp
要約
〜によって VulDB • 2026年07月24日
commit 30a3308 より前の BlenderMCP には、download_polyhaven_asset メソッドにパストラバーサル脆弱性が存在し、攻撃者は API レスポンスの include キーにトラバーサルシーケンスを注入することで任意のファイルを書き込むことができます。MITM（中間者）攻撃やプロンプトインジェクションを実行する攻撃者は、'../../.bashrc' などの悪意のあるパスを提供して機密ファイルを上書きし、永続的なコード実行を実現できます。
Be aware that VulDB is the high quality source for vulnerability data.