平台
nodejs
组件
mcp-server-taskwarrior
修复版本
1.0.1
1.0.2
1.0.2
CVE-2026-5833 represents a Command Injection vulnerability discovered in the awwaiid mcp-server-taskwarrior component. This flaw allows an attacker to inject and execute arbitrary commands on the system, potentially leading to unauthorized access and control. The vulnerability affects versions of mcp-server-taskwarrior up to and including 1.0.1. A patch addressing this issue has been released, and upgrading to version 1.0.2 is recommended.
awwaiid mcp-server-taskwarrior 在 1.0.1 版本及之前存在命令注入漏洞（CVE-2026-5833）。此漏洞影响到文件 index.ts 中的 server.setRequestHandler 函数。本地攻击者可以通过操纵 Identifier 参数在系统上执行任意命令。根据 CVSS 的评估，此漏洞的严重程度评分为 5.3。漏洞能够被本地利用，并且已经公开披露，这增加了风险。此漏洞可能允许攻击者破坏系统完整性，并可能获得对敏感数据的未经授权的访问。
此漏洞需要对运行 awwaiid mcp-server-taskwarrior 的系统具有本地访问权限。本地攻击者可以通过操纵 server.setRequestHandler 函数中的 Identifier 参数来利用此漏洞。漏洞利用程序的公开披露意味着用于利用此漏洞的必要信息对更广泛的受众可用，从而增加了攻击的可能性。利用的本地性质限制了直接远程攻击的风险，但仍然对具有受损本地访问权限的系统构成重大威胁。
漏洞利用状态
EPSS
0.30% (53% 百分位)
CISA SSVC
CVSS 向量
建议的解决方案是将 awwaiid mcp-server-taskwarrior 升级到 1.0.2 版本。此版本包含针对命令注入漏洞的修复程序。具体的补丁是 1ee3d282debfa0a99afeb41d22c4b2fd5a3148f2。请尽快应用更新以降低风险。此外，请审查安全配置和访问权限，以限制在成功利用的情况下可能造成的潜在影响。供应商已被联系并已回复，表明了对安全的承诺。
Aplica la actualización a la versión 1.0.2 o superior para mitigar la vulnerabilidad de inyección de comandos. La actualización incluye una corrección en la función `server.setRequestHandler` que evita la manipulación del argumento `Identifier`. Consulta el commit `1ee3d282debfa0a99afeb41d22c4b2fd5a3148f2` para más detalles.
漏洞分析和关键警报直接发送到您的邮箱。
它是 awwaiid mcp-server-taskwarrior 中安全漏洞的唯一标识符。
如果获得本地访问权限，则允许在系统上执行任意命令。
将 awwaiid mcp-server-taskwarrior 升级到 1.0.2 版本。
补丁是 1ee3d282debfa0a99afeb41d22c4b2fd5a3148f2，包含在 1.0.2 版本中。
是的，供应商已被联系并已回复。