CVE-2026-55580
Təsvir
mcp-shell təhlükəsiz, audit edilə bilən və tələb əsasında shell əmrlərini icra etmək üçün nəzərdə tutulmuş bir MCP serveridir. 0.6.0 versiyasından əvvəl config.go faylı Security.Enabled dəyişənini false olaraq başladır və MCP_SHELL_SEC_CONFIG_FILE təyin edilmədikdə, main.go sənədləşdirilmiş bare-binary tətbiqini təhlükəsizlik siyasəti olmadan başladır. Daha sonra security.go faylındakı SecurityValidator.validateCommand funksiyası prosesi qısaldır və shell_exec MCP alətinə ötürülən hər bir əmrə icazə verir, beləliklə stdio vasitəsilə qoşulan bir LLM, mcp-shell proses istifadəçisi kimi məhdudiyyətsiz ƏS əmrlərini icra edə bilir. Mənbədən quraşdırma ilə bağlı README və MCP klient konfiqurasiyası MCP_SHELL_SEC_CONFIG_FILE hissəsini buraxdığı üçün, təhlükəsiz olmayan vəziyyət sənədləşdirilmiş standart seçim halına gəlmişdir. Bu problem 0.6.0 versiyasında düzəldilib.
Necə düzəltmək olar
- github.com/sonirico/mcp-shell0.6.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/sonirico/mcp-shellGo | v < 0.6.0 | 0.6.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.