PT-2026-36624 · Pskill9 · Website-Downloader

Brucejqs · Publicado 2026-05-02 · Atualizado 2026-05-02 · CVE-2026-7642

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.5

Média

Vetor base

AV:N/AC:L/Au:S/C:P/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas pskill9 website-downloader versões anteriores a 0.1.1

Descrição Um problema de injeção de comando de SO existe no componente MCP Interface, dentro da função download website() do arquivo src/index.ts. Um invasor remoto pode disparar isso manipulando o argumento outputPath. A injeção de comando de SO é uma falha que permite que um invasor execute comandos arbitrários do sistema operacional no servidor.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o uso do argumento outputPath na função download website() para minimizar o risco de exploração.

Exploit

OS Command Injection

Command Injection

Enumeração de Fraquezas

CWE-78

CWE-77

Identificadores relacionados

CVE-2026-7642

Produtos afetados

Website-Downloader

Referências · 12

• 🔥 https://github.com/BruceJqs/public_exp/issues/31 · Exploit
• https://github.com/pskill9/website-downloader/issues/7 · Nota
• https://twitter.com/VulmonFeeds/status/2050622522488463846 · Publicação no Twitter
• https://t.me/CVEtracker/52539 · Publicação no Telegram
• https://vuldb.com/vuln/360754 · Nota
• https://github.com/pskill9/website-downloader · Nota
• https://vuldb.com/submit/806812 · Nota
• https://t.me/cveNotify/161881 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-7642 · Nota de Segurança
• https://vuldb.com/vuln/360754/cti · Nota
• https://twitter.com/infoflowcloud/status/2050595079979450447 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2050594665809035726 · Publicação no Twitter