Ccccccctfi

**Nome do Software Vulnerável e Versões Afetadas** horizon921 mcpilot versão 0.1.0 **Description** Uma falsificação de solicitação do lado do servidor (SSRF) existe no MCP API Call Endpoint dentro do arquivo `client/src/app/api/mcp/call/route.ts`. Este problema permite que um invasor remoto manipule o argumento `serverBaseUrl` para disparar solicitações não autorizadas a partir do servidor. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** ishayoyo excel-mcp versões anteriores a 1.0.3 **Descrição** Um problema de path traversal existe no componente `read file/write file` no arquivo `src/index.ts`. Um invasor remoto pode explorar isso manipulando os argumentos `filePath` ou `outputPath`. Path traversal é uma técnica usada para acessar arquivos e diretórios armazenados fora da pasta raiz da web através da manipulação de variáveis que referenciam arquivos com sequências dot-dot-slash (../). **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Restrinja o uso dos argumentos `filePath` e `outputPath` no componente `read file/write file` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** hiraishikentaro wezterm-mcp versão 0.1.0 **Description** A injeção de comandos do sistema operacional remota é possível através da manipulação da variável `pane id` dentro do argumento `request.params.arguments`. Este problema ocorre em uma função localizada no arquivo `src/wezterm executor.ts`, especificamente no componente `switch pane/write to specific pane`. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** indrasishbanerjee aem-mcp-server versões até b5f833aef9b5dfd17a5991b3b18a8a11edbdc583 **Description** Um problema de falsificação de requisição do lado do servidor (SSRF) existe no componente Axios Request Flow. Isso ocorre quando a função `getAssetMetadata()` no arquivo `src/mcp-server.ts` não manipula adequadamente o argumento `assetPath`, permitindo que um invasor remoto manipule a requisição. SSRF é uma falha que permite que um invasor induza a aplicação do lado do servidor a fazer requisições para um local não pretendido. **Recommendations** Como medida paliativa temporária, restrinja o uso do argumento `assetPath` dentro da função `getAssetMetadata()` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** hekmon8 Jenkins-server-mcp versão 0.1.0 **Description** Uma falsificação de requisição do lado do servidor (SSRF) remota existe na função `jobPath()` dentro do arquivo `src/index.ts` do componente `get build status/get build log/trigger build`. SSRF é uma falha que permite que um invasor induza a aplicação do lado do servidor a fazer requisições para um local não pretendido. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, considere restringir o uso da função `jobPath()` até que uma correção esteja disponível.

**Nome do Software Vulnerável e Versões Afetadas** j3k0 mcp-google-workspace versões anteriores a 89c091ecf8b9f9c7291d1af0b1966e271f86551c **Description** Controles de acesso inadequados existem no componente MCP Gmail Tool. Um invasor remoto pode explorar este problema manipulando a função `saveToDisk()` localizada no arquivo `src/tools/gmail.ts`. **Recommendations** Instale o patch 89c091ecf8b9f9c7291d1af0b1966e271f86551c. Como medida paliativa temporária, restrinja o uso da função `saveToDisk()` até que o patch seja aplicado.

**Nome do Software Vulnerável e Versões Afetadas** huangjunsen0406 xiaozhi-mcphub versões anteriores a 1.0.4 **Descrição** Um problema de path traversal existe no arquivo `src/controllers/dxtController.ts`. Um invasor remoto pode explorar isso manipulando o argumento `manifest.name`, permitindo o acesso não autorizado a arquivos ou diretórios fora da pasta pretendida. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** gyoridavid short-video-maker versões anteriores a 1.3.5 **Descrição** Uma falha de path traversal existe no componente REST API dentro do arquivo `src/server/routers/rest.ts`. Um invasor remoto pode explorar isso manipulando o argumento `req.params.tmpFile`, permitindo o acesso não autorizado a arquivos ou diretórios fora da pasta pretendida. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.