PT-2025-35147 · Microsoft+1 · Vscode+1

Superboy-Zjc · Publicado 2025-08-28 · Atualizado 2025-08-29 · CVE-2025-58062

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.3

Alta

Vetor base

AV:N/AC:L/AT:P/PR:L/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas openmcp-client versões anteriores à 0.1.12

Descrição openmcp-client, um plugin do VS Code para desenvolvedores MCP, contém uma falha na qual um endpoint de servidor de autorização malicioso pode ser provisionado por um atacante quando um usuário em uma plataforma Windows se conecta a um servidor MCP controlado pelo atacante. Isso pode levar a um ataque de injeção de comandos do sistema operacional na invocação de open(), potencialmente comprometendo o sistema do cliente.

Recomendações Atualize o openmcp-client para a versão 0.1.12.

Exploit

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2025-58062

GHSA-43M4-P3RV-C4V8

Produtos afetados

Vscode

Openmcp-Client

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/58xxx/CVE-2025-58062.json · Exploit
• https://github.com/LSTM-Kirigaya/openmcp-client/commit/9c3799d6ffae8d0cdfab25a53af75e1afc85f6c3 · Nota
• https://github.com/LSTM-Kirigaya/openmcp-client/security/advisories/GHSA-43m4-p3rv-c4v8 · Nota
• https://twitter.com/CVEnew/status/1961282417358143633 · Publicação no Twitter
• https://drive.google.com/file/d/1lSqFkc412aX6a_fjmNfzXsJKE7b8jPqD/view?usp=sharing · Nota
• https://t.me/CVEtracker/31176 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-58062 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-58062 · Nota de Segurança