🇰🇷 한글 설명
Neo.mjs의 ai/mcp/server/file-system MCP 서버 내 FileSystemService.mjs 구성 요소에서 커맨드 인젝션 취약점이 발견되었습니다. checkSyntax() 및 runPlaywrightTest() 함수가 사용자가 제어하는 absolutePath 값을 셸 명령에 안전하지 않게 삽입하여, AI 에이전트가 해당 도구를 호출하도록 유도될 경우 임의의 OS 명령을 실행할 수 있습니다.
💡 쉬운 설명
AI 비서가 파일을 다루는 과정에서 나쁜 명령어를 섞어 넣으면, 해커가 컴퓨터를 마음대로 조종할 수 있는 보안 구멍이 발견되었습니다. AI가 특정 파일을 확인하거나 테스트하라는 요청을 받을 때 공격자가 심어둔 명령어가 실행될 수 있습니다.
🇺🇸 원문 (English)
Neo.mjs contains a command injection vulnerability within the FileSystemService.mjs component of the ai/mcp/server/file-system MCP server, where the checkSyntax() and runPlaywrightTest() functions unsafely interpolate caller-controlled absolutePath values into shell commands, enabling arbitrary OS command execution when an AI agent is induced to invoke these tools. Commit 88c77fc fixes these vulnerabilities.
📍 영향받는 시스템
Neo.mjs (ai/mcp/server/file-system MCP server 포함 버전)
⚔️ 공격 벡터
AI 에이전트가 조작된 absolutePath 값이 포함된 도구(checkSyntax, runPlaywrightTest)를 호출하도록 유도하는 방식
🛡️ 대응 방법
커밋 88c77fc가 적용된 최신 버전으로 업데이트하여 취약점을 패치하십시오.
🔧 검증 코드
명령어 실행 결과로 해당 커밋 해시(88c77fc)가 출력되면 패치가 완료된 상태입니다.
git log -1 --format=%H | grep 88c77fc