CVE-2025-11490

wonderwhy-er DesktopCommanderMCP 0.2.13 sürümüne kadar olan versiyonlarında bir güvenlik açığı bulunmuştur. Etkilenen öğe, Absolute Path Handler bileşeninin src/command-manager.ts dosyasındaki extractBaseCommand fonksiyonudur. Bu manipülasyon, os command injection ile sonuçlanmaktadır. Saldırı uzaktan gerçekleştirilebilir. Exploit kamuya açıklanmıştır ve kullanılabilir. Satıcı şu açıklamayı yapmıştır: "Genel kullanım durumu, yapay zekadan bir şey yapmasının istenmesi, komutları kendisinin seçmesi ve genellikle mutlak yollar içermeyen basit komut adlarını kullanmasıdır. Bir kullanıcının modeli bu şekilde kısıtlamaları aşmaya teşvik etmesinin nedeni merak konusudur. (...) Bu potansiyel olarak bir sorun olabilir ancak gerçek iş akışlarında bunun bir sorun olduğuna dair henüz raporlar almadık. İnsanların bunu uzun vadede bir sorun olarak bildirebileceği durumlar için bu konuyu açık bırakacağız."