CVE-2026-14699
NiskieCVSS 3.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W bibliotece zcaceres markdownify-mcp do wersji 1.1.0 wykryto podatność polegającą na możliwości podążania za dowiązaniami symbolicznymi (symlink following). Problem występuje w funkcji assertPathAllowed w pliku src/Markdownify.ts i może być wykorzystany wyłącznie lokalnie.
Ocena ryzyka
Atakujący z lokalnym dostępem do systemu może wykorzystać tę podatność do odczytu lub zapisu plików poza zamierzonym katalogiem, co może prowadzić do naruszenia poufności lub integralności danych.
Rekomendacja
Należy zaktualizować bibliotekę do najnowszej wersji po opublikowaniu poprawki lub zastosować tymczasowe obejście, takie jak ograniczenie dostępu do aplikacji tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in zcaceres markdownify-mcp up to 1.1.0. The affected element is the function assertPathAllowed of the file src/Markdownify.ts. Executing a manipulation can lead to symlink following. The attack can only be executed locally. The pull request to fix this issue awaits acceptance.