🇰🇷 한글 설명
Sunwood-ai-labs의 github-kanban-mcp-server 0.4.0 이하 버전에서 src/handlers/issue-handlers.ts 파일의 handleListIssues 함수가 취약합니다. state/labels 인자 조작을 통해 OS 명령어 주입이 가능하며, 원격 공격이 가능합니다. 0.4.1 버전으로 업그레이드하여 해결할 수 있습니다.
💡 쉬운 설명
GitHub 이슈를 조회하는 도구에 보안 결함이 있어, 악의적인 입력으로 서버에서 임의의 시스템 명령을 실행당할 수 있습니다. 최신 버전으로 업데이트하면 이 문제가 해결됩니다.
🇺🇸 원문 (English)
A vulnerability was identified in Sunwood-ai-labs github-kanban-mcp-server up to 0.4.0. Impacted is the function handleListIssues of the file src/handlers/issue-handlers.ts. Such manipulation of the argument state/labels leads to os command injection. The attack can be launched remotely. Upgrading to version 0.4.1 is recommended to address this issue. The name of the patch is 253d93bbdf7ee9fe42bd8fdf15feea93ae59cbae. It is suggested to upgrade the affected component.
📍 영향받는 시스템
github-kanban-mcp-server 0.4.0 이하 버전
⚔️ 공격 벡터
원격에서 state/labels 인자에 조작된 값을 전달해 OS 명령어 주입 실행
🛡️ 대응 방법
github-kanban-mcp-server를 0.4.1 이상으로 업그레이드 (패치 커밋 253d93bbdf7ee9fe42bd8fdf15feea93ae59cbae 적용)
🔧 검증 코드
출력된 버전이 0.4.1 미만이면 취약하므로 업그레이드가 필요하고, 0.4.1 이상이면 패치가 적용된 것입니다.
npm list -g github-kanban-mcp-server 2>/dev/null; cat package.json 2>/dev/null | grep -E '"github-kanban-mcp-server"|"version"'