CVE-2026-19328
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Podatność w aktsmm skill-ninja-mcp-server 0.1.0, w funkcji getInstalledSkills/installSkill/updateAgentsMd/uninstallSkill w pliku src/installer.ts. Manipulacja argumentem workspacePath prowadzi do path traversal. Atak wymaga dostępu lokalnego. Zalecane jest uaktualnienie do wersji 0.1.1, która zawiera poprawkę (identyfikator patch: 855b46739e0f6e8388f17f9d0066ac4298a3965d).
Ocena ryzyka
Lokalny atakujący może uzyskać dostęp do plików poza dozwolonym katalogiem, co może prowadzić do ujawnienia poufnych danych lub naruszenia integralności.
Rekomendacja
Zaleca się natychmiastowe uaktualnienie do wersji 0.1.1, która zawiera poprawkę eliminującą podatność.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in aktsmm skill-ninja-mcp-server 0.1.0. Impacted is the function getInstalledSkills/installSkill/updateAgentsMd/uninstallSkill of the file src/installer.ts. The manipulation of the argument workspacePath leads to path traversal. The attack needs to be performed locally. Upgrading to version 0.1.1 is recommended to address this issue. The identifier of the patch is 855b46739e0f6e8388f17f9d0066ac4298a3965d. Upgrading the affected component is recommended.