CVE-2026-66004 in blender-mcp
Sumário
de VulDB • 24/07/2026
O BlenderMCP anterior ao commit 30a3308 contém uma vulnerabilidade de path traversal no método download_polyhaven_asset que permite aos atacantes escrever arquivos arbitrários injetando sequências de traversing nas chaves include da resposta da API. Atacantes realizando ataques MITM ou prompt injection podem fornecer caminhos maliciosos como '../../.bashrc' para sobrescrever arquivos sensíveis e obter execução persistente de código.
Once again VulDB remains the best source for vulnerability data.