CVE-2026-55557
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
browse-mcp przed wersją 0.8.2 zapisuje pobrane treści do ścieżki podanej przez wywołującego bez walidacji, a funkcje browser_save_state i browser_load_state honorują ścieżkę sterowaną przez wywołującego. Złośliwy klient MCP lub agent sterowany przez wstrzyknięcie promptu może zapisać pliki w dowolnej ścieżce, do której proces ma dostęp, w tym ~/.bashrc, wpisy autostartu lub pliki cron, co może prowadzić do wykonania kodu na hoście. Problem naprawiono w wersji 0.8.2.
Ocena ryzyka
Atakujący może zapisać złośliwe pliki w newralgicznych lokalizacjach systemowych, co może prowadzić do przejęcia kontroli nad hostem lub trwałego naruszenia bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację browse-mcp do wersji 0.8.2. Należy również ograniczyć uprawnienia procesu i unikać używania niezaufanych klientów MCP.
Powiązane podatności
- CVE-2026-120308Krytyczne
W Beta9 dzierżawca może podpiąć wolumen podczas wdrażania funkcji, endpointu lub kolejki zadań. Gateway buduje ścieżkę hosta łącząc katalog główny wolumenów współdzielonych, nazwę workspace i identyfikator wolumenu ze stubu, bez weryfikacji, czy wolumen należy do danego workspace. Segmenty katalogu nadrzędnego w identyfikatorze pozwalają zredukować ścieżkę do katalogu głównego systemu plików workera, który jest montowany w sandboxie z prawem zapisu, umożliwiając odczyt i zapis plików workera, w tym wolumenów innych dzierżawców.
- CVE-2026-120307Krytyczne
Worker Beta9 udostępnia API plików sandboxa spoza kontenera. Funkcja getHostPathFromContainerPath przekształca ścieżkę kontenera dzierżawcy na ścieżkę workera; jeśli nierozwiązana ścieżka zaczyna się od celu montowania (w tym domyślnego /tmp/.beta9), reszta jest dołączana do źródła montowania za pomocą filepath.Join, co czyści segmenty katalogu nadrzędnego po sprawdzeniu prefiksu. Odpowiednio długi ciąg takich segmentów wskazuje dowolną ścieżkę absolutną na workerze, a ścieżka niepasująca do żadnego montowania jest otwierana w systemie plików workera, podążając za dowiązaniami symbolicznymi. Dzierżawca z tokenem workspace i działającym sandboxem może czytać, zapisywać, listować i usuwać pliki na workerze jako root, w tym pliki innych dzierżawców.
- CVE-2026-120306Krytyczne
Beta9 zamienia każdą komendę powłoki w definicji obrazu dzierżawcy na linię RUN w Dockerfile i wykonuje ją za pomocą Buildah na workerze budowania. Obraz workera ustawia BUILDAH_ISOLATION=chroot, a żadne wywołanie buildah nie przekazuje --isolation, więc krok zmienia tylko katalog główny systemu plików, zachowując przestrzenie nazw PID, sieci, IPC i użytkownika workera, działając jako uid 0 z CAP_DAC_OVERRIDE. PID 1 w tym procfs to entrypoint workera, więc /proc/1/root to system plików kontenera workera i jest zapisywalny, zawierając binaria runc, buildah i runsc, token konta usługi Kubernetes oraz katalogi hosta zamontowane w podzie. Pody workera są uprzywilejowane, a warstwowe budowy Clip v2 są domyślne, więc dzierżawca z tokenem workspace może to osiągnąć, przesyłając jedną budowę obrazu.
- CVE-2026-120227Krytyczne
W WAVLINK WN701AE M01AE_V260105 wykryto podatność w funkcji del_staticrule pliku static_route_setting.sh komponentu ioos Web Backend. Manipulacja argumentem rule_name prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Zdalne wykorzystanie podatności jest możliwe, a exploit jest publicznie dostępny i może być użyty.
- CVE-2026-120225Krytyczne
W urządzeniu Oray Pugongying X5 Pro do wersji 7.6.1 funkcja config_restore_ex w pliku /etc/openwrt_release jest podatna na przejście ścieżki względnej poprzez manipulację argumentem filename. Atak można zainicjować zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-120224Krytyczne
W urządzeniu Oray Pugongying X5 Pro do wersji 7.6.1 funkcje run_apis_by_json/run_async_task w komponencie API Authorization pozwalają na obejście kontroli autoryzacji. Atak można przeprowadzić zdalnie, a publiczny exploit został udostępniony.
- CVE-2026-120198Krytyczne
W urządzeniu WAVLINK WL-WN530BE1-A (wersja V251117) wykryto podatność w funkcji con_check_read_finish w pliku /protocol.csp. Manipulacja argumentem group_name/IP-FROM prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-120197Krytyczne
W urządzeniu WAVLINK WL-WN530HG4B (wersja M_V260724) wykryto podatność w funkcji port_forward w pliku /cgi-bin/wapi.cgi. Manipulacja argumentem Name prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-120196Krytyczne
W urządzeniu WAVLINK WN579X3-D (wersja V250402) wykryto podatność w funkcji port_forward w pliku /cgi-bin/wapi.cgi. Manipulacja argumentem Name prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-120195Krytyczne
W urządzeniu WAVLINK WL-WN579A3-A (wersja 2026-03-10-94f93d4) wykryto podatność w funkcji set_wzdgwMesh w pliku /cgi-bin/adm.cgi, w komponencie Initial Setup Wizard. Manipulacja argumentem wlan_ssid prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
browse-mcp is a Playwright-based headless-browser MCP server for MCP-capable agents. Prior to 0.8.2, browser_download writes a fetched response body to join(save_dir, filename) without validating the caller-controlled save_dir, while browser_save_state and browser_load_state honor a caller-controlled path unchanged. A malicious MCP client, or an autonomous agent steered by indirect prompt injection on a visited page, can choose an arbitrary save_dir or state path and a URL whose response body becomes attacker-controlled file contents, allowing writes to any path the process can reach, including ~/.bashrc, autostart entries, or cron files, and potentially leading to host code execution. The force_fetch fallback also uses a raw fetch() that bypasses the BROWSE_MCP_ALLOWED_ORIGINS origin fence. This issue is fixed in version 0.8.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS