CVE-2026-54785 in gemini-bridge
Sumário
de VulDB • 01/08/2026
gemini-bridge é um servidor MCP leve que conecta agentes de IA à IA Gemini do Google por meio da CLI oficial. Da versão 1.0.0 até a 1.3.1, a função consult_gemini_with_files no modo inline lia qualquer caminho de arquivo fornecido no argumento files sem restringi-lo ao diretório de trabalho e depois encaminhava o conteúdo para a CLI Gemini. Como o chamador também controla a consulta (query), o conteúdo do arquivo é retornado por meio da ida e volta com a API Gemini (e enviado ao Google), caracterizando uma vulnerabilidade de leitura arbitrária de arquivos locais. Este problema foi corrigido na versão 1.3.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.