Vulnerabilidades

Se ha descubierto un fallo de seguridad en r-huijts mcp-server-rijksmuseum hasta la versión 1.0.4. Se ve afectada la función open_image_in_browser del archivo src/index.ts del componente MCP Interface. La manipulación del argumento imageUrl da lugar a una inyección de comandos del sistema operativo. El ataque puede…

Se ha detectado una vulnerabilidad en kleneway awesome-cursor-mpc-server hasta la versión 2.0.1. Se ve afectada la función runCodeReviewTool del archivo src/tools/codeReview.ts del componente Ccode-Review Tool. La ejecución de una manipulación puede conducir a una inyección de comandos. El ataque puede lanzarse de…

Se ha detectado una vulnerabilidad en crazyrabbitLTC mcp-code-review-server hasta la versión 0.1.0. Este problema afecta a la función executeRepomix del archivo src/repomix.ts del componente RepoMix Command Handler. Al realizar una manipulación se produce una inyección de comandos. El ataque puede iniciarse de forma…

Se ha detectado un fallo en ArtMin96 yii2-mcp-server 1.0.2. Afecta a la función yii_command_help/yii_execute_command del archivo src/index.ts del componente MCP Interface. La ejecución de una manipulación puede provocar una inyección de comandos del sistema operativo. El ataque puede ejecutarse de forma remota. Se ha…

Se ha detectado una vulnerabilidad de seguridad en Sunwood-ai-labs command-executor-mcp-server hasta la versión 0.1.0. Afecta a la función execute_command del archivo src/index.ts del componente MCP Interface. La manipulación conduce a una inyección de comandos del sistema operativo (OS command injection). Es posible…

Se ha descubierto un fallo de seguridad en TimBroddin astro-mcp-server hasta la versión 1.1.1. El elemento afectado es una función desconocida del archivo src/index.ts del componente MCP Tool Query Construction. La manipulación del argumento request.params.arguments da lugar a una inyección SQL. El ataque puede…

Atacantes no autenticados pueden aprovechar una debilidad en la funcionalidad del analizador XML de los puntos de conexión SOAP del servidor de 4D. Esto les permite obtener acceso de lectura a archivos del servidor de aplicaciones y a recursos compartidos de red adyacentes, y realizar solicitudes HTTP GET a servicios…

Se detectó una vulnerabilidad en mcp-server-semgrep 1.0.0 de VetCoders. Afecta a las funciones analyze_results/filter_results/export_results/compare_results/scan_directory/create_rule del archivo src/index.ts del componente MCP Interface. La manipulación del argumento ID da lugar a una inyección de comandos del…

Se ha detectado una vulnerabilidad en xcode-mcp-server 1.0.0 de PolarVista. Este problema afecta a la función build_project/run_tests del archivo src/index.ts del componente MCP Interface. La manipulación del argumento Request da lugar a una inyección de comandos del sistema operativo (OS command injection). El ataque…

Se ha identificado una debilidad en getsimpletool mcpo-simple-server hasta la versión 0.2.0. Se ve afectada la función delete_shared_prompt del archivo src/mcpo_simple_server/services/prompt_manager/base_manager.py. Esta manipulación del argumento detail provoca un recorrido de ruta relativa. Es posible iniciar el…

Se ha detectado una vulnerabilidad de seguridad en geekgod382 filesystem-mcp-server 1.0.0. Este problema afecta a la función is_path_allowed del archivo server.py del componente read_file_tool/write_file_tool. Esta manipulación conduce a un salto de directorios (path traversal). El ataque puede lanzarse de forma…

El punto final de autenticación acepta entrada proporcionada por el usuario sin aplicar las restricciones de validación esperadas, lo que lleva a una falta de codificación de salida adecuada. Esto permite la inyección de cargas útiles JavaScript maliciosas, lo que habilita cross-site scripting reflejado. Un atacante…

Se ha encontrado una vulnerabilidad en eiceblue spire-pdf-mcp-server 0.1.1. Esto afecta a la función get_pdf_path del archivo src/spire_pdf_mcp/server.py del componente Gestor de Archivos PDF. La ejecución de una manipulación del argumento filepath puede conducir a un salto de ruta. El ataque puede lanzarse de forma…

Una vulnerabilidad fue detectada en eiceblue spire-doc-mcp-server 1.0.0. Esto afecta a la función get_doc_path del archivo src/spire_doc_mcp/api/base.py. Realizar una manipulación del argumento document_name resulta en salto de ruta. El ataque puede ser iniciado remotamente. El exploit ahora es público y puede ser…

Se ha detectado una vulnerabilidad en WilliamCloudQi matlab-mcp-server hasta ab88f6b9bf5f36f725e8628029f7f6dd0d9913ca. El elemento afectado es la función generate_matlab_code/execute_matlab_code del archivo src/index.ts del componente MCP Interface. La ejecución de una manipulación del argumento scriptPath puede…

Control de acceso inadecuado en la función de documentación de almacenes (vault) de Devolutions Server permite a un atacante autenticado leer contenido de documentación de almacenes no autorizados mediante una solicitud de API manipulada. Este problema afecta a Server: desde 2026.1.6.0 hasta 2026.1.14.0, hasta…

Una vulnerabilidad fue identificada en duartium papers-mcp-server 9ceb3812a6458ba7922ca24a7406f8807bc55598. Afectada está la función search_papers del archivo src/main.py. Dicha manipulación del argumento topic conduce a salto de ruta. El ataque puede ser lanzado remotamente. El exploit está disponible públicamente y…

Se ha detectado una vulnerabilidad en disler aider-mcp-server hasta b2516fa466d0d851932da92ee6d0e66946db9efc. Afecta a esta vulnerabilidad una funcionalidad desconocida del archivo src/aider_mcp_server/server.py del componente aider_ai_code. Esta manipulación del argumento relative_editable_files provoca una inyección…

Vulnerabilidad de permisos heredados conservados de forma insegura en Cerberus FTP Server en Windows que permite la escalada de privilegios. Este problema se ha resuelto en Cerberus FTP Server: 2026.1

Se ha detectado una vulnerabilidad en ShadowCloneLabs GlutamateMCPServers hasta e2de73280b01e5d943593dd1aa2c01c5b9112f78. El problema afecta a una funcionalidad no especificada del archivo src/puppeteer/index.ts del componente puppeteer_navigate. La manipulación del argumento url puede dar lugar a una falsificación de…

Se ha identificado una debilidad en Toowiredd chatgpt-mcp-server hasta la versión 0.1.0. Este problema afecta a una funcionalidad no identificada del archivo src/services/docker.service.ts del componente MCP/HTTP. Esta manipulación provoca una inyección de comandos del sistema operativo. Es posible la explotación…

ObserverIP Scan Tool 1.4.0.1 contiene una vulnerabilidad de denegación de servicio que permite a atacantes locales bloquear la aplicación enviando una cadena excesivamente larga en el campo de entrada IP. Los atacantes pueden pegar un búfer de 2000 bytes de caracteres repetidos en el campo IP y activar una operación…

Technitium DNS Server anterior a 15.0 permite la amplificación del tráfico DNS mediante una delegación cíclica de servidores de nombres.

Los servidores P4 anteriores a la versión 2026.1 se configuran con valores predeterminados inseguros que, cuando están expuestos a redes no fiables, permiten a atacantes no autenticados crear cuentas de usuario arbitrarias, enumerar usuarios existentes, autenticarse en cuentas que no tienen contraseña establecida y…

radare2-mcp en la versión 1.6.0 y anteriores contiene una vulnerabilidad de inyección de comandos del sistema operativo que permite a atacantes remotos ejecutar comandos arbitrarios al eludir el filtro de comandos mediante metacaracteres de shell en la entrada controlada por el usuario que se pasa a r2_cmd_str(). Los…