CVE-2025-11489 in DesktopCommanderMCP
Сводка
по VulDB • 10.05.2026
Обнаружена уязвимость безопасности в приложении wonderwhy-er DesktopCommanderMCP версии до 0.2.13 включительно. Данная уязвимость затрагивает функцию isPathAllowed файла src/tools/filesystem.ts. Манипуляция приводит к следованию по символическим ссылкам (symlink following). Атака может быть выполнена только из локальной среды. Сложность атаки оценивается как высокая. Отмечается, что эксплуатация уязвимости затруднена. Эксплойт был опубликован в открытом доступе и может быть использован. Разработчик поясняет: «Наши функции ограничения предназначены как направляющие для LLM, чтобы помочь им ближе соответствовать желаниям пользователей, а не как жесткие границы безопасности. (...) Для пользователей, для которых безопасность является приоритетом, мы продолжаем рекомендовать использование Desktop Commander с Docker, который обеспечивает реальную изоляцию. (...) Мы оставим эту проблему открытой для дальнейшего рассмотрения, если получим больше запросов от пользователей на улучшение ограничений». Эта уязвимость затрагивает только продукты, которые больше не поддерживаются разработчиком.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.