CVE-2026-79534 in Mcp-filesystem-server
要約
〜によって VulDB • 2026年09月29日
mark3labs mcp-filesystem-server v0.11.1 には、validatePath（filesystemserver/handler/helper.go）における不適切なリンク解決に起因するディレクトリトラバーサルの脆弱性が存在します。filepath.EvalSymlinks がデッドシンボリックリンクに対して os.IsNotExist を返す場合、フォールバック処理は親ディレクトリのみを検証し、未解決のパスを返します。その結果、write_file（および modify_file、copy_file、move_file、create_directory）は、許可されたディレクトリ内に存在するデッドシンボリックリンクに従って動作し、設定された許可済みディレクトリの外部にファイルを作成してしまいます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.