🇰🇷 한글 설명
@akoskm/create-mcp-server-stdio는 MCP 서버 스타터 킷으로, 0.0.13 이전 버전에서 'which-app-on-port' 도구가 unsafe한 Node.js exec() API를 사용하여 명령 주입 취약점에 노출되어 있습니다. 신뢰할 수 없는 사용자 입력이 직접 쉘 명령어로 실행될 수 있습니다.
💡 쉬운 설명
이 도구는 사용자가 입력한 값을 검사하지 않고 바로 실행하기 때문에, 악의적인 명령어를 몰래 실행시킬 수 있습니다. 마치 은행 직원이 손님이 말한 대로 의심 없이 돈을 인출해주는 것과 같습니다.
🇺🇸 원문 (English)
@akoskm/create-mcp-server-stdio is an MCP server starter kit that uses the StdioServerTransport. Prior to version 0.0.13, the MCP Server is written in a way that is vulnerable to command injection vulnerability attacks as part of some of its MCP Server tool definition and implementation. The MCP Server exposes the tool `which-app-on-port` which relies on Node.js child process API `exec` which is an unsafe and vulnerable API if concatenated with untrusted user input. Version 0.0.13 contains a fix for the issue.
📍 영향받는 시스템
@akoskm/create-mcp-server-stdio < 0.0.13
⚔️ 공격 벡터
which-app-on-port 도구에 포트 번호 대신 악성 쉘 명령어를 주입하여 시스템 명령 실행
🛡️ 대응 방법
0.0.13 이상 버전으로 업그레이드: npm install @akoskm/create-mcp-server-stdio@^0.0.13
🔧 검증 코드
버전이 0.0.13 이상이면 안전, 0.0.13 미만이면 취약 (버전 번호 확인)
npm list @akoskm/create-mcp-server-stdio 2>/dev/null | grep 'create-mcp-server-stdio'