chatboxai chatbox Modelo Contexto Protocolo Servidor de Gerenciamento de Sistema ipc-stdio-transport.ts StdioClientTransport comando OS de injeção

Uma vulnerabilidade de injeção de comandos do sistema operacional (OS) foi identificada no chatboxai chatbox até a versão 1.20.0. Esta falha reside na função StdioClientTransport do arquivo src/main/mcp/ipc-stdio-transport.ts, que faz parte do Sistema de Gerenciamento do Servidor de Protocolo de Modelo de Contexto (Model Context Protocol Server Management System). Um atacante pode explorar esta vulnerabilidade manipulando os argumentos 'args/env', permitindo a execução de comandos arbitrários no sistema subjacente. A natureza remota desta vulnerabilidade a torna particularmente preocupante, pois pode ser explorada sem a necessidade de acesso físico ao sistema afetado. A publicação de um exploit disponível publicamente aumenta significativamente o risco de ataques.

Organizations deploying chatboxai chatbox in production environments, particularly those with public-facing instances or those integrated with other critical systems, are at significant risk. Shared hosting environments where multiple users share the same server are also vulnerable, as a compromise of one user's chatboxai chatbox instance could potentially impact others.

• nodejs: Monitor process execution for suspicious commands related to the chatboxai chatbox application.

ps aux | grep chatboxai | grep -i 'command injection'

• nodejs: Check for unusual network connections originating from the chatboxai chatbox process.

netstat -tulnp | grep chatboxai

• generic web: Examine access and error logs for requests containing suspicious characters or patterns indicative of command injection attempts (e.g., ;, |, &&). • generic web: Review response headers for unexpected content or error messages that might indicate exploitation.

1. 2026-04-12Disclosure

   disclosure

1. Reservado2026-04-12
2. Publicada2026-04-12
3. Modificada2026-04-13
4. EPSS atualizado2026-04-20

Atualmente, não foi fornecida uma solução oficial (fix) pelo desenvolvedor do chatboxai. A recomendação imediata é evitar o uso de versões do chatboxai chatbox anteriores à 1.20.0 até que uma atualização de segurança seja publicada. Como medida temporária, sugere-se implementar controles de rede rigorosos para limitar o acesso à instância do chatboxai, bem como monitorar ativamente os sistemas em busca de atividade suspeita. É crucial que os usuários se mantenham informados sobre quaisquer anúncios de segurança por parte da equipe do chatboxai e apliquem a atualização assim que estiver disponível. A falta de resposta do projeto ao relatório inicial da vulnerabilidade é um fator de risco adicional.