CVE-2026-14702
NiskieCVSS 2.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
W bibliotece zcaceres markdownify-mcp do wersji 1.1.0 wykryto podatność polegającą na generowaniu niewystarczająco losowych wartości w funkcji saveToTempFile pliku src/Markdownify.ts. Atak wymaga lokalnego dostępu i jest trudny do przeprowadzenia, ale exploit został już opublikowany.
Ocena ryzyka
Organizacja narażona jest na ryzyko lokalnego ataku, który może prowadzić do przewidzenia tymczasowych nazw plików i potencjalnego naruszenia integralności danych. Ze względu na wysoką złożoność ataku ryzyko jest ograniczone, ale exploit publiczny zwiększa prawdopodobieństwo wykorzystania.
Rekomendacja
Należy natychmiast zastosować łatkę po jej udostępnieniu lub tymczasowo ograniczyć dostęp lokalny do systemu, w którym używana jest podatna biblioteka. Monitoruj repozytorium w celu wdrożenia oczekującego pull requesta.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in zcaceres markdownify-mcp up to 1.1.0. This impacts the function saveToTempFile of the file src/Markdownify.ts of the component webpage-to-markdown/youtube-to-markdown/bing-search-to-markdown. This manipulation causes insufficiently random values. The attack is restricted to local execution. A high degree of complexity is needed for the attack. The exploitability is said to be difficult. The exploit has been published and may be used. The pull request to fix this issue awaits acceptance.