CVE-2026-79534 in Mcp-filesystem-server
Tóm tắt
Bởi VulDB • 29/09/2026
mark3labs mcp-filesystem-server v0.11.1 là một lỗ hổng Directory Traversal do việc giải quyết liên kết (link resolution) không đúng cách trong hàm validatePath (filesystemserver/handler/helper.go). Khi filepath.EvalSymlinks trả về os.IsNotExist cho một symbolic link bị gãy (dangling symlink), cơ chế dự phòng chỉ xác thực thư mục cha và trả về đường dẫn chưa được giải quyết, do đó write_file (cùng với modify_file, copy_file, move_file, create_directory) sẽ đi theo một dangling symlink đã tồn tại nằm trong một thư mục cho phép và tạo ra file bên ngoài các thư mục được cấu hình là hợp lệ.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.