PT-2026-1881 · Sylphxltd · @Sylphxltd/Filesystem-Mcp

CVE-2025-67366 · Publicado 2026-01-07 · Atualizado 2026-01-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas @sylphxltd/filesystem-mcp versão 0.5.8

Descrição @sylphxltd/filesystem-mcp versão 0.5.8 contém uma vulnerabilidade de path traversal na ferramenta"read content". O problema ocorre devido ao tratamento inadequado de symlinks no mecanismo de validação de caminho. A função resolvePath verifica a validade do caminho antes de resolver symlinks, enquanto fs.readFile resolve symlinks automaticamente durante o acesso ao arquivo. Isso permite que atacantes contornem restrições de diretório usando symlinks dentro do diretório permitido que apontam para arquivos externos, potencialmente permitindo acesso não autorizado a arquivos fora do escopo pretendido.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Relative Path Traversal

Enumeração de Fraquezas

CWE-23

Identificadores relacionados

CVE-2025-67366

Produtos afetados

@Sylphxltd/Filesystem-Mcp

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/67xxx/CVE-2025-67366.json · Exploit
• 🔥 https://github.com/sylphxltd/filesystem-mcp/issues/134 · Exploit
• https://github.com/sylphxltd/filesystem-mcp · Nota
• https://twitter.com/CVEnew/status/2008959527740428475 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-67366 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-67366 · Nota de Segurança