PT-2026-35516 · Dexhunter · Kaggle-Mcp

Mida · Publicado 2026-04-27 · Atualizado 2026-04-28 · CVE-2026-7149

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas dexhunter kaggle-mcp versões anteriores a 406127ffcb2b91b8c10e20e6c2ca787fbc1dc92d

Descrição Um problema de path traversal existe na função prepare kaggle dataset() dentro do arquivo src/kaggle mcp/server.py. Esta falha permite que um invasor remoto realize a travessia de diretórios ao manipular o argumento competition id. Path traversal é uma técnica que permite a um invasor acessar arquivos e diretórios armazenados fora da pasta raiz do servidor, manipulando variáveis que referenciam arquivos com sequências de ponto-ponto-barra (../).

Recomendações Atualize o dexhunter kaggle-mcp para uma versão posterior a 406127ffcb2b91b8c10e20e6c2ca787fbc1dc92d. Como medida paliativa temporária, restrinja ou valide a entrada fornecida ao argumento competition id na função prepare kaggle dataset() para evitar o uso de sequências de travessia de caminho.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-7149

GHSA-Q882-JC55-6343

Produtos afetados

Kaggle-Mcp

Referências · 10

• 🔥 https://github.com/dexhunter/kaggle-mcp/issues/1 · Exploit
• https://vuldb.com/vuln/359748 · Nota
• https://vuldb.com/submit/802052 · Nota
• https://vuldb.com/vuln/359748/cti · Nota
• https://github.com/dexhunter/kaggle-mcp · Nota
• https://t.me/CVEtracker/51981 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2048852107856331114 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-q882-jc55-6343 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-7149 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2048927160405016682 · Publicação no Twitter