Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

github логотип

GHSA-q66q-fx2p-7w4m

Опубликовано: 01 июл. 2025
Источник: github
Github: Прошло ревью
CVSS4: 7.3

Описание

@modelcontextprotocol/server-filesystem allows for path validation bypass via prefix matching and symlink handling

Versions of Filesystem prior to 0.6.3 & 2025.7.1 could allow access to unintended files via symlinks within allowed directories. Users are advised to upgrade to 2025.7.1 to resolve.

Thank you to Elad Beber (Cymulate) for reporting these issues.

Пакеты

Наименование

@modelcontextprotocol/server-filesystem

npm
Затронутые версииВерсия исправления

<= 0.6.2

Отсутствует

Наименование

@modelcontextprotocol/server-filesystem

npm
Затронутые версииВерсия исправления

>= 2025.1.14, < 2025.7.1

2025.7.1

EPSS

Процентиль: 36%
0.00151
Низкий

7.3 High

CVSS4

Дефекты

CWE-59

Связанные уязвимости

nvd
около 2 месяцев назад

Model Context Protocol Servers is a collection of reference implementations for the model context protocol (MCP). Versions of Filesystem prior to 0.6.4 or 2025.7.01 could allow access to unintended files via symlinks within allowed directories. Users are advised to upgrade to 0.6.4 or 2025.7.01 resolve.

CVSS3: 7.4
fstec
около 2 месяцев назад

Уязвимость протокола MCP файлового сервера server-filesystem, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации

EPSS

Процентиль: 36%
0.00151
Низкий

7.3 High

CVSS4

Дефекты

CWE-59