CVE-2026-55581 in mcp-shell
Сводка
по VulDB • 25.08.2026
mcp-shell — это сервер MCP для безопасного, проверяемого и по требованию выполнения команд оболочки. До версии 0.6.0 в файле security.yaml по умолчанию включён /bin/bash в allowed_executables, тогда как security.go проверяет только первый токен, а функция checkBlockedPatternsAndCommands не отклоняет флаг режима shell -c. Вызов инструмента MCP shell_exec может предоставить аргумент команды `/bin/bash -c <произвольная-команда>`, который проходит проверку и достигает executor.go, где parseCommand и exec.CommandContext выполняют произвольную команду как пользователь mcpuser вне предполагаемого списка разрешённых команд. Эта проблема исправлена в версии 0.6.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.