PT-2026-35150 · Unknown · Gitpilot-Mcp

Bigw · Publicado 2026-04-25 · Atualizado 2026-04-25 · CVE-2026-6980

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas Divyanshu-hash GitPilot-MCP versões até 9ed9f153ba4158a2ad230ee4871b25130da29ffd

Descrição A injeção de comando remoto é possível através da manipulação do argumento command. Este problema afeta a função repo path() no arquivo main.py, permitindo que um invasor execute comandos arbitrários remotamente.

Recomendações Como medida paliativa temporária, considere restringir o uso da função repo path() até que uma correção esteja disponível.

Exploit

Correção

Special Elements Injection

Command Injection

Enumeração de Fraquezas

CWE-74

CWE-77

Identificadores relacionados

CVE-2026-6980

Produtos afetados

Gitpilot-Mcp

Referências · 7

• 🔥 https://github.com/wing3e/public_exp/issues/38 · Exploit
• https://vuldb.com/vuln/359523/cti · Nota
• https://vuldb.com/vuln/359523 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-6980 · Nota de Segurança
• https://vuldb.com/submit/795502 · Nota
• https://twitter.com/CVEnew/status/2048099266556563825 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2048048851177635866 · Publicação no Twitter