CVE-2026-19372
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W projekcie Handwriting-OCR handwriting-ocr-mcp-server 0.1.0 wykryto podatność w funkcji fs.readFileSync pliku src/index.ts (komponent upload_document). Manipulacja argumentem File prowadzi do przechodzenia po ścieżkach (path traversal). Atak wymaga dostępu lokalnego.
Ocena ryzyka
Podatność path traversal może umożliwić atakującemu odczyt dowolnych plików na serwerze, co może prowadzić do ujawnienia poufnych danych.
Rekomendacja
Zaleca się walidację ścieżek plików, stosowanie białej listy dozwolonych katalogów oraz unikanie bezpośredniego użycia argumentu File w operacjach na plikach.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in Handwriting-OCR handwriting-ocr-mcp-server 0.1.0. Affected by this vulnerability is the function fs.readFileSync of the file src/index.ts of the component upload_document. Performing a manipulation of the argument File results in path traversal. Attacking locally is a requirement. The project was informed of the problem early through an issue report but has not responded yet.