Gongyanyu

Um problema de path traversal existe na função `screenshotElement()` dentro do arquivo `src/index.ts` da ferramenta `screenshot element`. Esta falha permite que um invasor remoto manipule o argumento `output name` para acessar ou gravar arquivos fora do diretório pretendido. Path traversal é uma técnica usada para acessar arquivos e diretórios armazenados fora da pasta raiz da web através da manipulação de variáveis que referenciam arquivos com entradas que não são devidamente validadas.

A injeção de comando é possível através do componente SSH Command Handler na função `ssh exec()` localizada no arquivo src/index.ts. Isso ocorre quando o argumento `host/username` é manipulado. O ataque requer acesso local. O mantenedor do projeto observa que a ferramenta é destinada a agentes locais/confiáveis que já possuem capacidades de execução através do shell exposto.

Uma falha remota existe em uma função dentro do arquivo `src/services/dcrClients.ts`. Este problema permite a falsificação de requisição do lado do servidor (server-side request forgery), uma técnica onde um invasor induz o servidor a fazer requisições para um local não pretendido.

A injeção de comando é possível via ataque remoto no componente NPM Package Version Handler. O problema reside na função `this.packageService.installPackage()` dentro do arquivo `src/controllers/packages.ts`.

A injeção de comandos é possível quando o argumento `projectPath` é manipulado dentro da função `executeOperation()` localizada no arquivo `src/index.ts` do componente `create scene/add node`. Este problema requer que o ataque seja lançado localmente.

A injeção de comando é possível no host local através da manipulação do argumento `Description` dentro da função `SecretDialog.showSecretDialog()`, localizada no arquivo `src/utils/secretDialog.ts` do componente `get credential from user`.

Um problema de path traversal existe no componente `ludus environment guides search`, especificamente em uma função localizada no arquivo `src/tools/ludusEnvironmentGuidesSearch.ts`. Isso ocorre quando o argumento `guide name` é manipulado, permitindo que um invasor com acesso local acesse arquivos fora do diretório pretendido. Path traversal é uma técnica utilizada para acessar arquivos e diretórios que estão armazenados fora da pasta raiz da web.

A injeção de comando é possível através da manipulação dos argumentos `command` e `args`. Este problema reside nas funções `executeArbitraryCommand()` e `executeCommand()` localizadas no arquivo `src/ludusMCP/cliWrapper.ts` do componente `ludus cli execute`. A exploração requer acesso local ao sistema.

Um problema no componente Repositories File API, no arquivo `src/core/repository.ts`, permite a ocorrência de path traversal—um método usado para acessar arquivos e diretórios armazenados fora da pasta pretendida. Isso ocorre quando o argumento `filePath` é manipulado dentro das funções `fileExists()`, `readFile()`, `writeFile()` e `deleteFile()`. A exploração requer acesso local.