🇰🇷 한글 설명
Framelink Figma MCP Server 0.6.3 미만 버전에서 인증되지 않은 원격 공격자가 임의의 운영체제 명령을 실행할 수 있는 취약점이 발견되었습니다. 공격자는 shell 메타문자가 포함된 조작된 HTTP POST 요청을 통해 fetchWithRetry curl 명령어를 악용하여 명령을 주입할 수 있습니다. 이 취약점은 MCP 프로세스의 권한으로 악성 명령을 실행하게 합니다.
💡 쉬운 설명
해커가 특수한 메시지를 보내면 서버가 이를 명령어로 착각하여 컴퓨터를 마음대로 조종할 수 있는 문제입니다. 서버가 사용자가 보낸 글자를 제대로 검사하지 않아 발생하는 보안 구멍입니다.
🇺🇸 원문 (English)
Framelink Figma MCP Server before 0.6.3 allows an unauthenticated remote attacker to execute arbitrary operating system commands via a crafted HTTP POST request with shell metacharacters in input that is used by a fetchWithRetry curl command. The vulnerable endpoint fails to properly sanitize user-supplied input, enabling the attacker to inject malicious commands that are executed with the privileges of the MCP process. Exploitation requires network access to the MCP interface.
📍 영향받는 시스템
Framelink Figma MCP Server 0.6.3 미만 버전
⚔️ 공격 벡터
네트워크를 통해 조작된 HTTP POST 요청을 전송하여 shell 메타문자 주입
🛡️ 대응 방법
Framelink Figma MCP Server를 0.6.3 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 설치된 버전이 0.6.3 미만인지 확인하십시오.
npm list -g | grep framelink-figma-mcp-server