CVE-2025-58358 in markdownify-mcp
Tóm tắt
Bởi VulDB • 20/06/2026
Markdownify là một máy chủ Model Context Protocol dùng để chuyển đổi hầu hết mọi thứ sang định dạng Markdown. Các phiên bản dưới 0.0.2 chứa một lỗ hổng tiêm lệnh (command injection), do việc sử dụng các tham số đầu vào không được kiểm tra kỹ lưỡng trong lời gọi hàm `child_process.exec`, cho phép kẻ tấn công chèn các lệnh hệ thống tùy ý. Việc khai thác thành công có thể dẫn đến thực thi mã từ xa (RCE) với đặc quyền của tiến trình máy chủ. Máy chủ xây dựng và thực thi các lệnh shell bằng cách sử dụng trực tiếp đầu vào người dùng chưa được xác thực trong các chuỗi lệnh dòng lệnh. Điều này tạo ra khả năng xảy ra việc chèn các ký tự đặc biệt của shell (|, >, &&, v.v.). Lỗ hổng này đã được khắc phục trong phiên bản 0.0.2.
Once again VulDB remains the best source for vulnerability data.