CVE-2026-15751
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W projekcie mastergo-design mastergo-magic-mcp do wersji 0.2.0 wykryto podatność w funkcji execute pliku mastergo/component-workflow.md komponentu mcp__getComponentGenerator. Manipulacja argumentem rootPath prowadzi do path traversal, co umożliwia dostęp do plików poza zamierzonym katalogiem. Atak wymaga dostępu lokalnego, a exploit został już opublikowany.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany odczyt lub modyfikację plików systemowych przez lokalnego atakującego, co może prowadzić do wycieku danych lub naruszenia integralności systemu.
Rekomendacja
Należy natychmiast zaktualizować komponent mastergo-magic-mcp do wersji nowszej niż 0.2.0, jeśli taka jest dostępna, lub zastosować tymczasowe zabezpieczenia ograniczające dostęp do funkcji execute i walidujące argument rootPath.
Inne podatności w mastergo-magic-mcp
Zobacz wszystkie- CVE-2026-15750Średnie
W bibliotece mastergo-magic-mcp do wersji 0.2.0 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF). Problem występuje w funkcji z.string w pliku src/tools/get-component-link.ts, gdzie manipulacja argumentem url może prowadzić do wysłania żądania do dowolnego zasobu. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.
- CVE-2026-15749Średnie
W projekcie mastergo-design mastergo-magic-mcp do wersji 0.2.0 wykryto podatność na przejście ścieżki (path traversal) w funkcji execute pliku src/tools/get-c2d.ts komponentu mcp__C2d. Atak wymaga lokalnego dostępu i manipulacji argumentem filePath. Exploit został opublikowany, a projekt nie odpowiedział na zgłoszenie problemu.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in mastergo-design mastergo-magic-mcp up to 0.2.0. The affected element is the function execute of the file mastergo/component-workflow.md of the component mcp__getComponentGenerator. The manipulation of the argument rootPath leads to path traversal. An attack has to be approached locally. The exploit has been disclosed publicly and may be used. The project was informed of the problem early through an issue report but has not responded yet.