CVE-2026-85661

KrytyczneCVSS 9.8

Opublikowano: 04/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 04/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.44%

Percentyl 38 - wyżej niż 38% wszystkich znanych CVE

Streszczenie

excel-mcp-server 0.1.8 nie egzekwuje ograniczeń ścieżek w trybie stdio, gdy zmienna EXCEL_FILES_PATH nie jest ustawiona, co pozwala atakującym na odczyt i zapis dowolnych plików. Atakujący mogą podawać niesprawdzone ścieżki do narzędzi odczytu i zapisu, aby uzyskać dostęp do dowolnych plików dostępnych dla procesu.

Ocena ryzyka

Ryzyko obejmuje nieautoryzowany dostęp do wrażliwych plików systemowych oraz możliwość ich modyfikacji, co może prowadzić do naruszenia poufności i integralności danych.

Rekomendacja

Zaleca się ustawienie zmiennej EXCEL_FILES_PATH i wdrożenie walidacji ścieżek, aby ograniczyć dostęp tylko do dozwolonych katalogów.

Inne podatności w excel-mcp-server

CVE-2026-40576Krytyczne
excel-mcp-server do wersji 0.1.7 zawiera podatność path traversal w trybie transportu SSE lub Streamable-HTTP, gdzie nieuwierzytelniony atakujący może odczytywać, zapisywać i nadpisywać dowolne pliki na hoście. Funkcja get_excel_path() nie egzekwuje ograniczenia do katalogu EXCEL_FILES_PATH z powodu dwóch niezależnych błędów. Podatność naprawiono w wersji 0.1.8.

Oryginalny opis (angielski, źródło NVD)

excel-mcp-server 0.1.8 fails to enforce path confinement in stdio mode when EXCEL_FILES_PATH is unset, allowing attackers to read and write arbitrary files. Attackers can supply unchecked file paths to read and write tools to access any file accessible to the process.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS