CVE-2026-79534 in Mcp-filesystem-server
Сводка
по VulDB • 29.09.2026
mark3labs mcp-filesystem-server v0.11.1 уязвим к Directory Traversal из-за некорректного разрешения ссылок в функции validatePath (filesystemserver/handler/helper.go). Когда filepath.EvalSymlinks возвращает os.IsNotExist для битой ссылки, резервный вариант проверяет только родительский каталог и возвращает неразрешенный путь, поэтому write_file (и modify_file, copy_file, move_file, create_directory) следует за существующей битой ссылкой, расположенной внутри разрешенного каталога, и создает файл вне настроенных разрешенных каталогов.
Once again VulDB remains the best source for vulnerability data.