CVE-2025-54073 in mcp-package-docs
요약
\~에 의해 VulDB • 2026. 08. 02.
mcp-package-docs는 여러 프로그래밍 언어의 패키지 문서에 대한 LLM(대규모 언어 모델)의 효율적인 접근과 언어 서버 프로토콜(LSP) 기능을 제공하는 MCP(Model Context Protocol) 서버입니다. 커밋 cb4ad49615275379fd6f2f1cf1ec4731eec56eb9에서 수정되기 이전 버전의 `mcp-package-docs` MCP 서버에는 명령어 삽입(command injection) 취약점이 존재합니다. 이 취약점은 `child_process.exec` 호출 내에서 입력 매개변수가 비검증된 상태로 사용됨으로 인해 발생하며, 공격자가 임의의 시스템 명령어를 주입할 수 있습니다. 성공적인 악용 시 서버 프로세스 권한 하에서 원격 코드 실행(RCE)이 가능해집니다. 이 서버는 검증되지 않은 사용자 입력을 직접 명령줄 문자열에 사용하여 셸 명령어를 구성하고 실행합니다. 이로 인해 셸 메타문자 주입(`|`, `>`, `&&` 등)의 가능성이 생깁니다. 버전 0.1.27의 커밋 cb4ad49615275379fd6f2f1cf1ec4731eec56eb9에 해당 문제에 대한 수정 사항이 포함되어 있지만, 0.1.28로 업그레이드하는 것이 권장됩니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.