CVE-2026-10661
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W projekcie blender-mcp znaleziono podatność na wstrzykiwanie w funkcji Open pliku server.py. Manipulacja argumentem input_image_url może prowadzić do zdalnego wstrzyknięcia kodu. Exploit został ujawniony publicznie.
Ocena ryzyka
Atakujący może zdalnie wykorzystać tę podatność do wykonania nieautoryzowanych operacji na serwerze, co może prowadzić do przejęcia kontroli nad systemem.
Rekomendacja
Należy niezwłocznie zastosować łatkę dostępną pod identyfikatorem 5b37be25242e73dc4cf1328974d30458b9e5d67e.
Inne podatności w blender-mcp
Zobacz wszystkie- CVE-2026-10688Średnie
Wtyczka blender-mcp do wersji 7636d13bded82eca58eb93c3f4cd8708dfdfbe8b zawiera podatność na wstrzykiwanie kodu w funkcji execute_blender_code w pliku /src/blender_mcp/server.py. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-10662Średnie
W projekcie ahujasid blender-mcp do wersji 7636d13b wykryto podatność SSRF w komponencie obsługi plików ZIP. Funkcja requests.get w pliku src/blender_mcp/server.py nieprawidłowo waliduje argument zip_file_url, umożliwiając atakującemu zdalne wykonanie żądań po stronie serwera. Exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in ahujasid blender-mcp up to 7636d13bded82eca58eb93c3f4cd8708dfdfbe8b. Impacted is the function Open of the file src/blender_mcp/server.py. The manipulation of the argument input_image_url leads to injection. Remote exploitation of the attack is possible. The exploit has been disclosed to the public and may be used. This product follows a rolling release approach for continuous delivery, so version details for affected or updated releases are not provided. The identifier of the patch is 5b37be25242e73dc4cf1328974d30458b9e5d67e. To fix this issue, it is recommended to deploy a patch.