CVE-2025-53107

@cyanheads/git-mcp-server, Git depolarıyla etkileşim kurmak için tasarlanmış bir MCP sunucusudur. 2.1.5 sürümünden önce, child_process.exec çağrısı içinde giriş parametrelerinin temizlenmeden kullanılmasından kaynaklanan bir komut enjeksiyonu güvenlik açığı bulunmaktadır ve bu, bir saldırganın rastgele sistem komutları enjekte etmesine olanak tanır. Başarılı bir istismar, sunucu sürecinin ayrıcalıkları altında uzaktan kod çalıştırmaya yol açabilir. Sunucu, doğrulanmamış kullanıcı girişini doğrudan komut satırı dizeleri içinde kullanarak kabuk komutları oluşturur ve çalıştırır. Bu, kabuk meta karakteri enjeksiyonu (|, >, &&, vb.) olasılığını ortaya çıkarır. Bir MCP İstemcisi, örneğin git günlüklerini okuması istendiğinde dolaylı istem enjeksiyonu yoluyla ek eylemler yürütmeye yönlendirilebilir. Bu sorun 2.1.5 sürümünde giderilmiştir.