PT-2026-55760 · Unknown · Markdownify-Mcp

Dem000000 · Publicado 2026-07-05 · Atualizado 2026-07-05 · CVE-2026-14699

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.3

Baixa

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas zcaceres markdownify-mcp versões anteriores a 1.1.1

Descrição Uma fraqueza existe na função assertPathAllowed() dentro do arquivo src/Markdownify.ts. Um invasor local pode realizar uma manipulação que leva ao seguimento de links simbólicos (symlink following), o que ocorre quando o software segue um link simbólico para acessar um arquivo ou diretório fora do caminho pretendido.

Recomendações Atualize para uma versão posterior a 1.1.0. Como medida paliativa temporária, restrinja o acesso local à função assertPathAllowed() até que a correção seja oficialmente aceita e lançada.

Correção

Link Following

Enumeração de Fraquezas

CWE-61

CWE-59

Identificadores relacionados

CVE-2026-14699

Produtos afetados

Markdownify-Mcp

Referências · 10

• https://github.com/zcaceres/markdownify-mcp/issues/108 · Nota
• https://github.com/zcaceres/markdownify-mcp/pull/109 · Correção
• https://github.com/zcaceres/markdownify-mcp · Nota
• https://vuldb.com/submit/846864 · Nota
• https://twitter.com/infoflowcloud/status/2073657185213514028 · Publicação no Twitter
• https://vuldb.com/vuln/376295 · Nota
• https://vuldb.com/cve/CVE-2026-14699 · Nota
• https://vuldb.com/vuln/376295/cti · Nota
• https://twitter.com/CVEnew/status/2073655132231708971 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-14699 · Nota de Segurança