CVE-2025-11489
Açıklama
wonderwhy-er DesktopCommanderMCP 0.2.13 sürümüne kadar olan versiyonlarında bir güvenlik zafiyeti tespit edilmiştir. Bu zafiyet, src/tools/filesystem.ts dosyasındaki isPathAllowed fonksiyonunu etkilemektedir. Manipülasyon, sembolik bağlantı takibine (symlink following) yol açmaktadır. Saldırı yalnızca yerel bir ortamdan gerçekleştirilebilir. Saldırının karmaşıklığı yüksek olarak değerlendirilmiş ve istismar edilebilirliğinin zor olduğu belirtilmiştir. İstismar yöntemi kamuya açıklanmıştır ve kullanılabilir. Satıcı şu açıklamayı yapmıştır: "Kısıtlama özelliklerimiz, sertleştirilmiş güvenlik sınırlarından ziyade, LLM'lerin kullanıcıların isteklerine daha yakın kalmasına yardımcı olmak için koruma rayları olarak tasarlanmıştır. (...) Güvenliğin öncelikli olduğu kullanıcılar için, gerçek izolasyon sağlayan Docker ile Desktop Commander kullanmaya devam etmelerini öneriyoruz. (...) Geliştirilmiş kısıtlamalar için daha fazla kullanıcı talebi gelirse, bu konuyu gelecekte değerlendirmek üzere açık tutacağız." Bu zafiyet yalnızca artık bakımı yapılmayan ürünleri etkilemektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wonderwhy-er desktopcommandermcp | v ≤ 0.2.13 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.