PT-2026-42034 · Npm+2 · @Penpot/Mcp+1

CVE-2026-45805 · Publicado 2026-05-19 · Atualizado 2026-07-15

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Penpot versões anteriores a 2.15.0

Description No módulo MCP, o ReplServer vincula-se a todas as interfaces de rede (0.0.0.0:4403) e expõe um endpoint '/execute' não autenticado. Este endpoint passa a variável code para a função executePluginTask(), permitindo que qualquer usuário na rede execute código JavaScript arbitrário no servidor. Isso pode levar à execução remota de código, permitindo que invasores leiam arquivos sensíveis, executem comandos do sistema ou extraiam variáveis de ambiente contendo segredos e credenciais.

Recommendations Atualize para a versão 2.15.0. Como medida paliativa temporária, restrinja o acesso de rede à porta 4403 para evitar o acesso externo não autorizado ao ReplServer.

Exploit

Correção

Enumeração de Fraquezas

CWE-749

Identificadores relacionados

CVE-2026-45805

GHSA-22QR-RP27-J9WM

Produtos afetados

@Penpot/Mcp

Penpot

Referências · 10

• 🔥 https://github.com/penpot/penpot/security/advisories/GHSA-22qr-rp27-j9wm · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/45xxx/CVE-2026-45805.json · Exploit
• https://github.com/penpot/penpot/releases/tag/2.15.0 · Nota
• https://github.com/penpot/penpot/commit/798ee46b4a84ee6dfc756b001f33acbe0280d62f · Nota
• https://github.com/penpot/penpot/issues/9518 · Nota
• https://github.com/penpot/penpot · Nota
• https://reddit.com/r/cybersecurity/comments/1tkfk0l/14_npmpypiai_supplychain_threats_today_20260522 · Publicação no Reddit
• https://osv.dev/vulnerability/CVE-2026-45805 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-45805 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-22qr-rp27-j9wm · Aviso do Fabricante