CVE-2025-71427

Office-PowerPoint-MCP-Server 2.0.7 ve öncesi sürümler, MCP çağrıcılarının mutlak yollar veya ../ dizileri sağlayarak çalışma dizini dışındaki dosyalara yazmasına ve okumasına olanak tanıyan bir path traversal zafiyeti içermektedir. Saldırganlar, bir yapay zeka ajanını prompt injection yoluyla yönlendirerek save_presentation, open_presentation veya manage_image output_path fonksiyonlarını kötüye kullanabilir ve sunucu tarafından yazılabilir herhangi bir dosyayı üzerine yazabilir veya harici dosyaları yükleyebilir.