PT-2025-35862 · Unknown · Markdownify

0Xroyr · Publicado 2025-09-02 · Atualizado 2025-09-07 · CVE-2025-58358

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Markdownify anteriores a 0.0.2

Descrição O Markdownify é um servidor do Model Context Protocol para converter conteúdo para Markdown. Versões anteriores a 0.0.2 contêm uma falha de injeção de comando, causada pelo uso não sanitizado de parâmetros de entrada dentro de uma chamada para child process.exec. A exploração bem-sucedida pode levar à execução remota de código sob os privilégios do processo do servidor. O servidor constrói e executa comandos do shell usando entrada de usuário não validada diretamente dentro de strings de linha de comando, introduzindo a possibilidade de injeção de metacaracteres do shell.

Recomendações Atualize para a versão 0.0.2 ou posterior.

Exploit

Correção

RCE

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

CVE-2025-58358

GHSA-45QJ-4XQ3-3C45

Produtos afetados

Markdownify

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/58xxx/CVE-2025-58358.json · Exploit
• https://github.com/zcaceres/markdownify-mcp/commit/a31204de058b22a47e1dcc24508993cfe97e5bb3 · Nota
• https://github.com/zcaceres/markdownify-mcp/security/advisories/GHSA-45qj-4xq3-3c45 · Nota
• https://github.com/zcaceres/markdownify-mcp · Nota
• https://twitter.com/0xRoyR/status/1964632698825097696 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1963646021281489385 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-58358 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-45qj-4xq3-3c45 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-58358 · Nota de Segurança