CVE-2025-53832

Lara Translate MCP Server, Lara Translate API için bir Model Context Protocol (MCP) Sunucusudur. 0.0.11 ve altı sürümler, @translated/lara-mcp MCP Sunucusunda bulunan bir komut enjeksiyonu zafiyeti içermektedir. Zafiyet, child_process.exec çağrısı kapsamında giriş parametrelerinin temizlenmeden kullanılmasından kaynaklanmakta ve bir saldırganın rastgele sistem komutları enjekte etmesine olanak tanımaktadır. Başarılı bir istismar, sunucu işleminin yetkileri altında uzaktan kod çalıştırılmasına yol açabilir. Sunucu, doğrulanmamış kullanıcı girdilerini doğrudan komut satırı dizeleri içinde kullanarak kabuk komutları oluşturmakta ve yürütmektedir. Bu durum, kabuk meta karakter enjeksiyonu (|, >, &&, vb.) olasılığını ortaya çıkarmaktadır. Bu zafiyet 0.0.12 sürümünde giderilmiştir.