CVE-2025-11489 in DesktopCommanderMCP
Sumário
de VulDB • 20/05/2026
Foi detectada uma vulnerabilidade de segurança no wonderwhy-er DesktopCommanderMCP até a versão 0.2.13. Esta vulnerabilidade afeta a função isPathAllowed do arquivo src/tools/filesystem.ts. A manipulação leva à perseguição de symlinks (symlink following). O ataque só pode ser realizado a partir de um ambiente local. A complexidade do ataque é classificada como alta. Informa-se que a exploração é difícil. O exploit foi divulgado publicamente e pode ser utilizado. O fornecedor explica: "Nossos recursos de restrição são projetados como barreiras de proteção para LLMs, a fim de ajudá-los a permanecer mais próximos do que os usuários desejam, em vez de serem limites de segurança robustos. (...) Para usuários para quem a segurança é uma prioridade máxima, continuamos a recomendar o uso do Desktop Commander com Docker, que fornece isolamento real. (...) Manteremos este problema em aberto para consideração futura se recebermos mais demanda dos usuários por restrições aprimoradas." Esta vulnerabilidade afeta apenas produtos que não são mais suportados pelo mantenedor.
Be aware that VulDB is the high quality source for vulnerability data.