CVE-2026-19279
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
W projekcie MIMICLab mcp-pdf-vision w wersji 1.1.0 wykryto podatność na wstrzykiwanie poleceń w funkcji load_pdf w pliku src/index.ts. Manipulacja argumentami pdfPath/sessionId umożliwia wykonanie poleceń, ale atak wymaga dostępu lokalnego. Projekt nie odpowiedział na zgłoszenie.
Ocena ryzyka
Atak lokalny może pozwolić osobie z dostępem do systemu na wykonanie dowolnych poleceń w kontekście aplikacji, co może prowadzić do eskalacji uprawnień lub naruszenia integralności danych.
Rekomendacja
Należy ograniczyć dostęp lokalny do systemu i monitorować odpowiedź projektu. Rozważyć tymczasowe wyłączenie funkcji load_pdf, jeśli to możliwe.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in MIMICLab mcp-pdf-vision 1.1.0. The impacted element is the function load_pdf of the file src/index.ts. Such manipulation of the argument pdfPath/sessionId leads to command injection. The attack can only be performed from a local environment. The project was informed of the problem early through an issue report but has not responded yet.