Plataforma
nodejs
Componente
fast-filesystem-mcp
Corrigido em
3.5.1
3.5.2
3.5.1
CVE-2026-5327 descreve uma vulnerabilidade de Injeção de Comando encontrada no componente fast-filesystem-mcp. A falha permite que um atacante execute comandos arbitrários no sistema afetado. As versões afetadas são 3.5.0 até 3.5.1. Atualmente, não há uma correção oficial disponível para esta vulnerabilidade.
Uma vulnerabilidade de injeção de comandos foi descoberta no fast-filesystem-mcp até a versão 3.5.1. A vulnerabilidade reside na função handleGetDiskUsage localizada no arquivo src/index.ts. Um atacante remoto pode explorar essa falha manipulando a entrada para essa função, permitindo a execução de comandos arbitrários no servidor. A vulnerabilidade é classificada como 6.3 na escala CVSS. A disponibilidade pública de um exploit aumenta significativamente o risco, pois diminui a barreira de entrada para agentes maliciosos. O projeto foi notificado do problema por meio de um relatório de issue, mas ainda não respondeu, o que é preocupante.
A vulnerabilidade pode ser explorada remotamente, o que significa que um atacante não precisa de acesso físico ao sistema afetado. A função handleGetDiskUsage é suscetível à injeção de comandos se a entrada do usuário não for devidamente validada. Um atacante pode manipular a entrada para incluir comandos maliciosos que serão executados no servidor. A disponibilidade pública do exploit simplifica a exploração, aumentando o risco de ataques. A falta de resposta do projeto agrava a situação, pois não há uma correção oficial disponível.
Applications and services that rely on fast-filesystem-mcp versions 3.5.0 or earlier are at risk. This includes Node.js-based applications that utilize the library for file system management tasks. Shared hosting environments where multiple applications share the same Node.js runtime are particularly vulnerable, as a compromise of one application could potentially lead to the compromise of others.
• nodejs / server:
ps aux | grep 'fast-filesystem-mcp' | grep -i 'handleGetDiskUsage'• nodejs / server:
npm list fast-filesystem-mcp• generic web: Review access logs for requests containing suspicious parameters that might be used for command injection. • generic web: Check for unusual processes running with Node.js, particularly those related to file system operations.
disclosure
Status do Exploit
EPSS
1.23% (percentil 79%)
CISA SSVC
Vetor CVSS
Dada a falta de uma correção oficial dos desenvolvedores do fast-filesystem-mcp, as mitigações recomendadas incluem a atualização imediata para uma versão corrigida (se lançada) ou a remoção do componente, se não for essencial. Como medida temporária, considere implementar controles de segurança adicionais, como validação estrita da entrada para a função handleGetDiskUsage para evitar a injeção de comandos. Monitorar os sistemas afetados em busca de sinais de exploração é crucial. Recomendamos fortemente entrar em contato com a equipe de desenvolvimento para pressionar por uma resolução e se manter informado sobre quaisquer atualizações de segurança.
Actualizar el paquete fast-filesystem-mcp a una versión posterior a 3.5.1, si existe, que corrija la vulnerabilidad de inyección de comandos. Si no hay una versión corregida disponible, considerar deshabilitar o eliminar el paquete hasta que se publique una actualización.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
A injeção de comandos permite que um atacante execute comandos arbitrários no sistema, comprometendo potencialmente a segurança do servidor.
Se você estiver usando o fast-filesystem-mcp na versão 3.5.1 ou anterior, seu sistema é vulnerável. Revise os logs do sistema em busca de atividades suspeitas.
Implemente controles de segurança adicionais, como validação de entrada, e monitore seu sistema em busca de sinais de exploração.
Tente entrar em contato com a equipe de desenvolvimento do fast-filesystem-mcp diretamente. Você também pode procurar informações em fóruns de segurança e bancos de dados de vulnerabilidades.
Atualmente, não existem ferramentas específicas disponíveis, mas você pode usar ferramentas gerais de verificação de vulnerabilidades para procurar padrões de injeção de comandos.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.