🇰🇷 한글 설명
token-optimizer-mcp 5.1.0 미만 버전의 smart_user 도구에서 OS 명령 주입 취약점이 발견되었습니다. smart_user 도구를 호출할 수 있는 MCP 클라이언트는 get-user-info 작업의 username 인자를 통해 임의의 셸 명령을 실행할 수 있습니다. 이 명령은 token-optimizer-mcp 서버를 실행 중인 사용자의 권한으로 실행됩니다.
💡 쉬운 설명
AI 코딩 도우미 프로그램의 특정 기능에 보안 구멍이 있어, 공격자가 컴퓨터에 몰래 명령을 내릴 수 있는 상태입니다. 이를 통해 공격자가 사용자의 컴퓨터를 마음대로 조종할 위험이 있습니다.
🇺🇸 원문 (English)
Token Optimizer MCP measures token savings per AI coding agent, optimizes context, and shares a live local knowledge graph across 16 CLI clients. Prior to version 5.1.0, token-optimizer-mcp is vulnerable to OS command injection in the smart_user tool. Any MCP client that can call the smart_user tool can execute arbitrary shell commands through the username argument of the get-user-info operation. The commands execute with the privileges of the user running the token-optimizer-mcp server. This issue has been patched in version 5.1.0.
📍 영향받는 시스템
token-optimizer-mcp version < 5.1.0
⚔️ 공격 벡터
smart_user 도구의 get-user-info 작업 내 username 인자에 악성 셸 명령어를 삽입하여 공격
🛡️ 대응 방법
token-optimizer-mcp를 최신 버전인 5.1.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 5.1.0 미만이면 취약한 상태이며, 5.1.0 이상이면 안전합니다.
npm list -g token-optimizer-mcp 2>/dev/null | grep -E 'token-optimizer-mcp@'