chatboxai chatbox Model Context Protocol Server Management System ipc-stdio-transport.ts StdioClientTransport injection de commande os

Une vulnérabilité d'injection de commandes système (OS) a été découverte dans chatboxai chatbox jusqu'à la version 1.20.0. Cette faille se trouve dans la fonction StdioClientTransport du fichier src/main/mcp/ipc-stdio-transport.ts, qui fait partie du Système de Gestion du Serveur de Protocole de Modèle de Contexte (Model Context Protocol Server Management System). Un attaquant peut exploiter cette vulnérabilité en manipulant les arguments 'args/env', ce qui peut entraîner l'exécution de commandes système arbitraires. La nature à distance de cette vulnérabilité la rend particulièrement préoccupante, car elle peut être exploitée sans nécessiter d'accès physique au système affecté. La publication d'un exploit disponible publiquement augmente considérablement le risque d'attaques.

Organizations deploying chatboxai chatbox in production environments, particularly those with public-facing instances or those integrated with other critical systems, are at significant risk. Shared hosting environments where multiple users share the same server are also vulnerable, as a compromise of one user's chatboxai chatbox instance could potentially impact others.

• nodejs: Monitor process execution for suspicious commands related to the chatboxai chatbox application.

ps aux | grep chatboxai | grep -i 'command injection'

• nodejs: Check for unusual network connections originating from the chatboxai chatbox process.

netstat -tulnp | grep chatboxai

• generic web: Examine access and error logs for requests containing suspicious characters or patterns indicative of command injection attempts (e.g., ;, |, &&). • generic web: Review response headers for unexpected content or error messages that might indicate exploitation.

1. 2026-04-12Disclosure

   disclosure

1. Réservé2026-04-12
2. Publiée2026-04-12
3. Modifiée2026-04-13
4. EPSS mis à jour2026-04-20

Actuellement, aucune correction officielle (fix) n'a été publiée par les développeurs de chatboxai. La recommandation immédiate est d'éviter d'utiliser les versions de chatboxai chatbox antérieures à la 1.20.0 jusqu'à ce qu'une mise à jour de sécurité soit disponible. En tant que mesure temporaire, il est conseillé de mettre en œuvre des contrôles réseau stricts pour limiter l'accès à l'instance chatboxai, ainsi que de surveiller activement les systèmes à la recherche d'activités suspectes. Les utilisateurs doivent rester informés de toute annonce de sécurité de l'équipe chatboxai et appliquer la mise à jour dès qu'elle est disponible. Le manque de réponse du projet au rapport initial de vulnérabilité est un facteur de risque supplémentaire.