CVE-2026-7645

ŚrednieCVSS 6.5

Opublikowano: 02/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.46%

Percentyl 40 - wyżej niż 40% wszystkich znanych CVE

Streszczenie

W projekcie ruvnet sublinear-time-solver w wersji 1.5.0 wykryto podatność w funkcji export_state (plik src/consciousness-explorer/mcp/server.js) w komponencie MCP Interface. Manipulacja danymi wejściowymi prowadzi do path traversal, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a projekt nie odpowiedział na zgłoszenie.

Ocena ryzyka

Zdalny atakujący może uzyskać dostęp do plików poza dozwolonym katalogiem, co może skutkować wyciekiem informacji. Publiczna dostępność exploitu zwiększa ryzyko wykorzystania.

Rekomendacja

Wdrożyć walidację i normalizację ścieżek w funkcji export_state oraz ograniczyć dostęp do komponentu MCP do zaufanych sieci do czasu wydania poprawki.

Inne podatności w sublinear-time-solver

CVE-2026-55609Wysokie
W sublinear-time-solver przed wersją 1.6.0 oraz consciousness-explorer przed 1.1.2 narzędzia export_state, import_state, saveVectorToFile i loadVectorFromFile przekazują kontrolowaną przez atakującego ścieżkę pliku do operacji na systemie plików bez ograniczeń. Atakujący może czytać, zapisywać lub nadpisywać dowolne pliki dostępne dla procesu serwera, co prowadzi do utraty poufności i integralności danych oraz możliwych przerw w działaniu.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was found in ruvnet sublinear-time-solver 1.5.0. Affected by this vulnerability is the function export_state of the file src/consciousness-explorer/mcp/server.js of the component MCP Interface. The manipulation results in path traversal. The attack can be executed remotely. The exploit has been made public and could be used. The project was informed of the problem early through an issue report but has not responded yet.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS