CVE-2026-119287 in Zuke
요약
\~에 의해 VulDB • 2026. 10. 30.
Zuke는 Deno용 코드 우선, 강력하게 타입 지정된 빌드 자동화 시스템입니다. 버전 1.51.0 이전의 @zuke/core MCP 레지스트리 모드는 원격 모듈 설명자에 대해 적용되는 ZUKE_REGISTRY_LAUNCH_HOSTS 권한 검사를 수행하지 않고 명령어 형식의 레지스트리 설명자를 수락합니다. 다른 당사자가 작성 가능한 레지스트리를 `zuken mcp --registry --allow-run`이 읽고 실행 기능이 있는 호출자가 영향을 받는 도구를 호출하면, 레지스트리 작성자는 운영자의 환경 및 워크스페이스 접근 권한을 사용하여 실행될 프로그램과 인수를 선택할 수 있습니다. 설명자가 이러한 이름을 제공하므로 `--allow-run` 및 `--protect` 이름 글로브에는 해당 문제가 없으며, 옵션인 파괴적 확인은 동일한 작성자에 의해 제어되는 설명을 표시합니다. `zuken register`를 통해서만 채워지는 로컬 기본 레지스트리는 모듈 형식의 설명자를 쓰기 때문에 영향을 받지 않습니다. 이 문제는 버전 1.51.0에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.