tag: path traversal

AWS Transform MCP Server (wersje 0.1.0–0.1.4) ma poważną lukę w narzędziu get_resource, która pozwala na zapisanie plików poza zamierzonym katalogiem przez parametr savePath. To może prowadzić do wykonania kodu na lokalnej maszynie. Jeśli używasz tego serwera, zaktualizuj go do wersji 0.1.5 lub nowszej – to nie opcjonalne.

aws-healthomics-mcp-server w wersji 0.0.35 i starszych ma lukę path traversal w narzędziach lintingu, która pozwala na zapis plików poza docelowy katalog workflow'u. Jeśli używasz tego serwera, musisz zaktualizować się do wersji 0.0.36 lub nowszej. Podatność może być exploitowana przez aktora wpływającego na MCP agenta poprzez directory traversal sequences w parametrze workflow_files.