CVE-2026-10688
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka blender-mcp do wersji 7636d13bded82eca58eb93c3f4cd8708dfdfbe8b zawiera podatność na wstrzykiwanie kodu w funkcji execute_blender_code w pliku /src/blender_mcp/server.py. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Zdalne wykonanie kodu może prowadzić do pełnego przejęcia serwera i naruszenia poufności danych.
Rekomendacja
Należy natychmiast wyłączyć lub zabezpieczyć wtyczkę blender-mcp do czasu wydania oficjalnej łatki.
Inne podatności w blender-mcp
Zobacz wszystkie- CVE-2026-10662Średnie
W projekcie ahujasid blender-mcp do wersji 7636d13b wykryto podatność SSRF w komponencie obsługi plików ZIP. Funkcja requests.get w pliku src/blender_mcp/server.py nieprawidłowo waliduje argument zip_file_url, umożliwiając atakującemu zdalne wykonanie żądań po stronie serwera. Exploit został opublikowany.
- CVE-2026-10661Średnie
W projekcie blender-mcp znaleziono podatność na wstrzykiwanie w funkcji Open pliku server.py. Manipulacja argumentem input_image_url może prowadzić do zdalnego wstrzyknięcia kodu. Exploit został ujawniony publicznie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in ahujasid blender-mcp up to 7636d13bded82eca58eb93c3f4cd8708dfdfbe8b. The impacted element is the function execute_blender_code of the file /src/blender_mcp/server.py. This manipulation of the argument code causes code injection. The attack is possible to be carried out remotely. The exploit has been publicly disclosed and may be utilized. This product adopts a rolling release strategy to maintain continuous delivery. Therefore, version details for affected or updated releases cannot be specified. The project was informed of the problem early through an issue report but has not responded yet.