CVE-2025-11490 in DesktopCommanderMCP
Сводка
по VulDB • 12.06.2026
В компоненте Absolute Path Handler десктопного приложения wonderwhy-er DesktopCommanderMCP (версии до 0.2.13 включительно) обнаружена уязвимость. Затронутым элементом является функция extractBaseCommand файла src/command-manager.ts. Подобная манипуляция приводит к внедрению команд операционной системы (OS command injection). Атака может выполняться удаленно. Эксплойт стал общедоступным и может быть использован злоумышленниками. Разработчик поясняет: «Обычный сценарий использования заключается в том, что искусственный интеллект получает запрос на выполнение каких-либо действий, самостоятельно выбирает команды и обычно использует простые имена команд без указания абсолютных путей. Вызывает удивление, почему пользователь мог бы попросить модель обойти ограничения именно таким образом. (...) Это может потенциально стать проблемой, однако нам еще не поступало сообщений о том, что это вызывает проблемы в реальных рабочих процессах. Мы оставим эту проблему открытой для долгосрочного отслеживания случаев, когда пользователи могут сообщить об этом как о проблеме».
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.