PT-2025-29513 · Unknown · Github-Kanban-Mcp-Server

Lirantal · Publicado 2025-07-14 · Atualizado 2025-07-17 · CVE-2025-53818

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas: GitHub Kanban MCP Server versões 0.3.0 a 0.4.0

Descrição: O GitHub Kanban MCP Server é um servidor do Model Context Protocol (MCP) projetado para gerenciar issues do GitHub no formato de quadro Kanban e otimizar o gerenciamento de tarefas de LLM. A ferramenta add comment do servidor utiliza a função exec do Node.js para executar o comando GitHub (gh), ocasionando uma vulnerabilidade de injeção de comando quando combinada com entrada de usuário não confiável.

Recomendações: GitHub Kanban MCP Server versão 0.3.0: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade. GitHub Kanban MCP Server versão 0.4.0: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2025-53818

GHSA-6JX8-RCJX-VMWF

Produtos afetados

Github-Kanban-Mcp-Server

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/53xxx/CVE-2025-53818.json · Exploit
• 🔥 https://github.com/Sunwood-ai-labs/github-kanban-mcp-server/security/advisories/GHSA-6jx8-rcjx-vmwf · Exploit
• https://github.com/Sunwood-ai-labs/github-kanban-mcp-server/blob/v0.4.0/src/handlers/comment-handlers.ts#L8-L23 · Nota
• https://github.com/Sunwood-ai-labs/github-kanban-mcp-server/blob/main/src/handlers/tool-handlers.ts#L79 · Nota
• https://github.com/Sunwood-ai-labs/github-kanban-mcp-server/blob/main/src/handlers/comment-handlers.ts#L8 · Nota
• https://github.com/Sunwood-ai-labs/github-kanban-mcp-server · Nota
• https://osv.dev/vulnerability/GHSA-6jx8-rcjx-vmwf · Aviso do Fabricante
• https://twitter.com/SecAideInfo/status/1945789962365841595 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-53818 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1944860703845736919 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-53818 · Nota de Segurança
• https://twitter.com/gothburz/status/1944975212841197570 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1944890342433546415 · Publicação no Twitter
• https://t.me/cvetracker/27820 · Publicação no Telegram