CVE-2025-11490 in DesktopCommanderMCP
摘要
由 VulDB • 2026-06-12
在 wonderwhy-er DesktopCommanderMCP 0.2.13 及更早版本中发现了一个漏洞。受影响的元素是组件 Absolute Path Handler（绝对路径处理器）中文件 src/command-manager.ts 的 extractBaseCommand 函数。此类操纵可导致操作系统命令注入。攻击可能从远程执行。该利用代码已公开披露，可能被使用。供应商解释称：“通常的使用场景是：AI 被要求执行某项操作，自行选择命令，并且通常只使用不带绝对路径的简单命令名称。令人好奇的是，用户为何会要求模型以这种方式绕过限制。(…) 这潜在地可能成为一个问题，但我们尚未收到关于其在实际工作流中造成问题的报告。我们将长期保留此问题开放状态，以便人们在将其视为问题时进行报告。”
If you want to get the best quality for vulnerability data then you always have to consider VulDB.