Gongyanyu

**Nome do Software Vulnerável e Versões Afetadas** MonomythDevelopment la-forge-mcp versões anteriores a 1.1.1 **Description** Um problema de path traversal existe na função `screenshotElement()` dentro do arquivo `src/index.ts` da ferramenta `screenshot element`. Esta falha permite que um invasor remoto manipule o argumento `output name` para acessar ou gravar arquivos fora do diretório pretendido. Path traversal é uma técnica usada para acessar arquivos e diretórios armazenados fora da pasta raiz da web através da manipulação de variáveis que referenciam arquivos com entradas que não são devidamente validadas. **Recommendations** Atualize para a versão 1.1.1. Como mitigação temporária, restrinja o uso do argumento `output name` na função `screenshotElement()`.

A vulnerability was detected in Kino-Kafkaesque ssh-mcp-server up to 8ebbbb99b26f80ff6162fe00957c6dec73fbc5a5. Impacted is the function ssh exec of the file src/index.ts of the component SSH Command Handler. Performing a manipulation of the argument host/username results in command injection. The attack requires a local approach. The actual existence of this vulnerability is currently in question. This product adopts a rolling release strategy to maintain continuous delivery. Therefore, version details for affected or updated releases cannot be specified. The project maintainer explains: "The intended threat model is that this MCP server is a local/trusted tool for an agent to execute commands over SSH, so callers already have meaningful execution capability through the exposed shell."

**Nome do Software Vulnerável e Versões Afetadas** MissionSquad mcp-api versões anteriores a 1.11.10 **Description** Uma falha remota existe em uma função dentro do arquivo `src/services/dcrClients.ts`. Este problema permite a falsificação de requisição do lado do servidor (server-side request forgery), uma técnica onde um invasor induz o servidor a fazer requisições para um local não pretendido. **Recommendations** Atualize para a versão 1.11.10.

**Nome do Software Vulnerável e Versões Afetadas** MissionSquad mcp-api versões anteriores a 1.11.9 **Descrição** A injeção de comando é possível via ataque remoto no componente NPM Package Version Handler. O problema reside na função `this.packageService.installPackage()` dentro do arquivo `src/controllers/packages.ts`. **Recomendações** Atualizar para a versão 1.11.9.

A flaw has been found in LeeSinLiang godot-mcp 0.1.0. Affected by this vulnerability is the function executeOperation of the file src/index.ts of the component create scene/add node. This manipulation of the argument projectPath causes command injection. The attack needs to be launched locally. The project was informed of the problem early through an issue report but has not responded yet.

**Nome do Software Vulnerável e Versões Afetadas** NocteDefensor LudusMCP versões anteriores a 1.0.25 **Descrição** A injeção de comando é possível no host local através da manipulação do argumento `Description` dentro da função `SecretDialog.showSecretDialog()`, localizada no arquivo `src/utils/secretDialog.ts` do componente `get credential from user`. **Recomendações** Como medida paliativa temporária, restrinja o uso da função `SecretDialog.showSecretDialog()` até que uma correção esteja disponível.

**Nome do Software Vulnerável e Versões Afetadas** NocteDefensor LudusMCP versões anteriores a 1.0.25 **Descrição** Um problema de path traversal existe no componente `ludus environment guides search`, especificamente em uma função localizada no arquivo `src/tools/ludusEnvironmentGuidesSearch.ts`. Isso ocorre quando o argumento `guide name` é manipulado, permitindo que um invasor com acesso local acesse arquivos fora do diretório pretendido. Path traversal é uma técnica utilizada para acessar arquivos e diretórios que estão armazenados fora da pasta raiz da web. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Restrinja o uso do argumento `guide name` no componente `ludus environment guides search` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** NocteDefensor LudusMCP versões anteriores a 1.0.25 **Description** A injeção de comando é possível através da manipulação dos argumentos `command` e `args`. Este problema reside nas funções `executeArbitraryCommand()` e `executeCommand()` localizadas no arquivo `src/ludusMCP/cliWrapper.ts` do componente `ludus cli execute`. A exploração requer acesso local ao sistema. **Recommendations** Como medida paliativa temporária, restrinja o uso das funções `executeArbitraryCommand()` e `executeCommand()` até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** lspace-server versões até 79f02fe5aa8970b210a6a05cf097155f8d9ffd71 **Description** Um problema no componente Repositories File API, no arquivo `src/core/repository.ts`, permite a ocorrência de path traversal—um método usado para acessar arquivos e diretórios armazenados fora da pasta pretendida. Isso ocorre quando o argumento `filePath` é manipulado dentro das funções `fileExists()`, `readFile()`, `writeFile()` e `deleteFile()`. A exploração requer acesso local. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.