CVE-2025-11489 in DesktopCommanderMCP
Tóm tắt
Bởi VulDB • 24/05/2026
Một lỗ hổng bảo mật đã được phát hiện trong wonderwhy-er DesktopCommanderMCP phiên bản 0.2.13 trở xuống. Lỗ hổng này ảnh hưởng đến hàm isPathAllowed trong tệp src/tools/filesystem.ts. Việc thao tác dẫn đến việc theo dõi symlink (liên kết tượng trưng). Tấn công chỉ có thể được thực hiện từ môi trường cục bộ. Độ phức tạp của cuộc tấn công được đánh giá là cao. Khả năng khai thác được mô tả là khó khăn. Lỗ hổng đã được công khai và có thể được sử dụng. Nhà cung cấp giải thích: "Các tính năng hạn chế của chúng tôi được thiết kế như các rào chắn an toàn cho các mô hình ngôn ngữ lớn (LLM) để giúp chúng bám sát hơn vào mong muốn của người dùng, thay vì các ranh giới bảo mật được tăng cường. (...) Đối với những người dùng mà bảo mật là ưu tiên hàng đầu, chúng tôi tiếp tục khuyến nghị sử dụng Desktop Commander với Docker, cung cấp khả năng cô lập thực tế. (...) Chúng tôi sẽ giữ vấn đề này mở để xem xét trong tương lai nếu nhận được nhiều yêu cầu hơn từ người dùng về việc cải thiện các hạn chế." Lỗ hổng này chỉ ảnh hưởng đến các sản phẩm không còn được nhà bảo trì hỗ trợ.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.