🇰🇷 한글 설명
dvladimirov MCP 0.1.0 이하 버전의 Git Search API의 GitSearchRequest 함수에서 repo_url/pattern 인자 조작으로 명령 주입 공격이 가능합니다. 공격자는 원격에서 임의의 명령을 실행할 수 있으며, 공개 익스플로잇이 존재하여 즉각적인 위협이 있습니다.
💡 쉬운 설명
MCP 소프트웨어의 검색 기능에 악의적인 명령을 숨겨서 보낼 수 있어 해커가 컴퓨터를 완전히 제어할 수 있습니다. 원격에서 인터넷을 통해 공격할 수 있으며 이미 공개된 공격 코드가 있습니다.
🇺🇸 원문 (English)
A weakness has been identified in dvladimirov MCP up to 0.1.0. The impacted element is the function GitSearchRequest of the file mcp_server.py of the component Git Search API. Executing a manipulation of the argument repo_url/pattern can lead to command injection. The attack can be executed remotely. The exploit has been made available to the public and could be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.
📍 영향받는 시스템
dvladimirov MCP <= 0.1.0
⚔️ 공격 벡터
HTTP/네트워크를 통해 Git Search API의 repo_url 또는 pattern 파라미터에 OS 명령을 주입하여 서버에서 임의의 코드 실행
🛡️ 대응 방법
dvladimirov MCP를 0.1.1 이상의 패치 버전으로 즉시 업그레이드하거나 API 접근을 제한하는 방화벽 규칙 적용
🔧 검증 코드
설치된 버전이 0.1.0 이하면 취약상태, 0.1.1 이상이면 안전, 미설치면 위험 없음
pip show dvladimirov-mcp | grep Version || echo 'Not installed'