CVE-2026-6942
Kritik
Açıklama
radare2-mcp sürüm 1.6.0 ve öncesi, uzak saldırganların r2_cmd_str() fonksiyonuna iletilen kullanıcı kontrollü girdilerdeki kabuk meta karakterleri aracılığıyla komut filtresini atlayarak rastgele komutlar yürütmesine olanak tanıyan bir işletim sistemi komut enjeksiyonu zafiyeti içermektedir. Saldırganlar, kimlik doğrulaması gerektirmeden radare2-mcp çalışan ana makinede uzaktan kod çalıştırmak için jsonrpc arayüz parametreleri üzerinden kabuk meta karakterleri enjekte edebilirler.
ÖnemKritik
CVSS9.8
İstismar olasılığı—
ÜrünRadare2 Mcp Server
Yayın23 Nis 2026
İlk görülme23 Nis 2026
Zayıflık türüCWE-78İşletim sistemi komut enjeksiyonu
Nasıl düzeltilir
Güncelleyin
- radare radare2_mcp_server1.7.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| radare radare2_mcp_server | v < 1.7.0 | 1.7.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.