DeDeveloper23 codebase-mcp RepoMix codebase.ts saveCodebase ओएस कमांड इंजेक्शन (os command injection)

DeDeveloper23 codebase-mcp में एक कमांड इंजेक्शन भेद्यता (vulnerability) की पहचान की गई है, विशेष रूप से getCodebase/getRemoteCodebase/saveCodebase फ़ंक्शन (RepoMix Command Handler घटक के भीतर src/tools/codebase.ts फ़ाइल में) के भीतर। प्रभावित संस्करण 3ec749d237dd8eabbeef48657cf917275792fde6 से पहले के हैं। यह भेद्यता एक हमलावर को एप्लिकेशन चल रहे सिस्टम पर मनमाना ऑपरेटिंग सिस्टम (OS) कमांड निष्पादित करने की अनुमति देती है, जिससे संभावित रूप से सिस्टम डेटा और संसाधनों की गोपनीयता, अखंडता और उपलब्धता से समझौता हो सकता है। भेद्यता की प्रकृति के कारण, हमले को स्थानीय रूप से किया जाना चाहिए, जिसका अर्थ है कि सिस्टम तक पहुंच रखने वाला उपयोगकर्ता इस भेद्यता का फायदा उठा सकता है। भेद्यता का सार्वजनिक प्रकटीकरण शोषण के जोखिम को बढ़ाता है।

Development teams using codebase-mcp within their Node.js applications are at risk. Specifically, those deploying applications with local access to the codebase-mcp component, or those with inadequate access controls, are particularly vulnerable. Environments where local user accounts have elevated privileges are also at increased risk.

• nodejs / server:

ps aux | grep codebase-mcp

• nodejs / server:

journalctl -u codebase-mcp -f | grep -i "command injection"

• generic web:

curl -I http://your-server/getCodebase/getRemoteCodebase/saveCodebase | grep -i "command injection"

1. 2026-03-29Disclosure

   disclosure

1. आरक्षित2026-03-27
2. प्रकाशित2026-03-29
3. संशोधित2026-03-30
4. EPSS अद्यतन2026-04-04

चूंकि codebase-mcp निरंतर डिलीवरी (rolling release) मॉडल का उपयोग करता है, इसलिए अनुशंसित समाधान नवीनतम उपलब्ध संस्करण में अपडेट करना है। अपडेट यह सुनिश्चित करता है कि नवीनतम सुरक्षा पैच लागू किए गए हैं। हालांकि CVE रिपोर्ट में कोई विशिष्ट फिक्स प्रदान नहीं किया गया है, लेकिन रोलिंग रिलीज प्रक्रिया अपडेट लागू होने पर भेद्यता को कम कर देनी चाहिए। नवीनतम अपडेट की निगरानी करना और वे उपलब्ध होने पर नवीनतम संस्करणों को लागू करना महत्वपूर्ण है। इसके अतिरिक्त, स्थानीय एक्सेस कंट्रोल नीतियों की समीक्षा और मजबूत करें ताकि आंतरिक उपयोगकर्ताओं द्वारा शोषण के जोखिम को सीमित किया जा सके।