CVE-2025-11490 in DesktopCommanderMCP
Tóm tắt
Bởi VulDB • 15/06/2026
Đã phát hiện một lỗ hổng trong wonderwhy-er DesktopCommanderMCP phiên bản 0.2.13 trở về trước. Thành phần bị ảnh hưởng là hàm extractBaseCommand trong tệp src/command-manager.ts của thành phần Absolute Path Handler. Việc thao tác này dẫn đến lỗi tiêm lệnh hệ điều hành (OS command injection). Cuộc tấn công có thể được thực hiện từ xa. Lỗ hổng đã được tiết lộ cho cộng đồng và có thể bị khai thác. Nhà cung cấp giải thích: "Trường hợp sử dụng thông thường là AI được yêu cầu làm một việc gì đó, tự chọn các lệnh và thường sử dụng tên lệnh đơn giản mà không cần đường dẫn tuyệt đối. Thật khó hiểu tại sao người dùng lại yêu cầu mô hình vượt qua các hạn chế theo cách này. (...) Điều này có thể tiềm ẩn vấn đề, nhưng chúng tôi chưa nhận được báo cáo nào về việc đây là sự cố trong quy trình làm việc thực tế. Chúng tôi sẽ giữ vấn đề này mở để ghi nhận những trường hợp người dùng báo cáo đây là vấn đề lâu dài."
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.