CVE-2026-19978
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
W android-mcp-server do commit cfb872b2446794193b58edd63f4dbf6af48a6292 wykryto podatność na wstrzyknięcie poleceń systemu operacyjnego w funkcji child_process.exec pliku build/index.js. Manipulacja argumentami deviceId/packageName/permission/extras[].key/extras[].value umożliwia lokalne wykonanie ataku. Opublikowano exploit, a projekt stosuje ciągłe wydania; dostępna jest poprawka 14e2bf27c88ba137e35cbb0c2a75f72b595bb98a.
Ocena ryzyka
Lokalny atakujący może wykonać dowolne polecenia systemowe, co może prowadzić do pełnej kompromitacji systemu lub eskalacji uprawnień.
Rekomendacja
Zaleca się natychmiastowe zastosowanie dostępnej poprawki (commit 14e2bf27c88ba137e35cbb0c2a75f72b595bb98a) oraz ograniczenie dostępu do aplikacji tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in jiantao88 android-mcp-server up to cfb872b2446794193b58edd63f4dbf6af48a6292. The impacted element is the function child_process.exec of the file build/index.js of the component Command Execution. Executing a manipulation of the argument deviceId/packageName/permission/extras[].key/extras[].value can lead to os command injection. It is possible to launch the attack on the local host. The exploit has been published and may be used. This product implements a rolling release for ongoing delivery, which means version information for affected or updated releases is unavailable. This patch is called 14e2bf27c88ba137e35cbb0c2a75f72b595bb98a. It is advisable to implement a patch to correct this issue.