🇰🇷 한글 설명
github-kanban-mcp-server의 create_issue 파라미터에서 사용자 입력이 적절히 검증되지 않아 command injection 취약점이 발생합니다. 공격자는 인증 없이 시스템 명령 실행 중 악의적인 코드를 주입하여 서비스 계정 권한으로 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
github-kanban-mcp-server의 이슈 생성 기능에서 입력값을 제대로 검사하지 않아 악의적인 명령어를 숨겨서 보낼 수 있습니다. 누구나 로그인 없이 서버의 모든 권한으로 명령어를 실행할 수 있습니다.
🇺🇸 원문 (English)
github-kanban-mcp-server execAsync Command Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of github-kanban-mcp-server. Authentication is not required to exploit this vulnerability.
The specific flaw exists within the handling of the create_issue parameter. The issue results from the lack of proper validation of a user-supplied string before using it to execute a system call. An attacker can leverage this vulnerability to execute code in the context of the service account. Was ZDI-CAN-27784.
📍 영향받는 시스템
github-kanban-mcp-server (특정 버전 정보 미제공)
⚔️ 공격 벡터
create_issue 파라미터에 쉘 메타문자(; | & $() 등)를 포함하여 command injection 수행
🛡️ 대응 방법
github-kanban-mcp-server를 최신 보안 패치 버전으로 업데이트하고 모든 사용자 입력에 엄격한 검증 적용
🔧 검증 코드
설치된 github-kanban-mcp-server 버전이 표시되면 CVE 영향 범위 버전인지 CVE DB에서 확인하고 필요시 업데이트 수행
npm list github-kanban-mcp-server 2>/dev/null | grep github-kanban-mcp-server