CVE-2025-53372
Təsvir
node-code-sandbox-mcp, ixtiyari JavaScript kodlarını icra etmək üçün müvəqqəti Docker konteynerləri yaradan Node.js əsaslı Model Context Protocol serveridir. 1.3.0 versiyasından əvvəl node-code-sandbox-mcp MCP Server-də komanda inyeksiyası zəifliyi mövcuddur. Zəiflik, child_process.execSync çağırışı daxilində giriş parametrlərinin təmizlənmədən istifadə edilməsindən qaynaqlanır və bu, hücumçuya ixtiyari sistem komandalarını inyeksiya etməyə imkan verir. Uğurlu istismar, docker daxilində kodun işlədilməsinə dair sandbox qorumasını yan keçərək, host maşında server prosesinin imtiyazları ilə uzaqdan kodun icrasına səbəb ola bilər. Bu zəiflik 1.3.0 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- node-code-sandbox-mcp1.3.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| node-code-sandbox-mcpnpm | v < 1.3.0 | 1.3.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.