CVE-2025-6514

Nome do Software Vulnerável e Versões Afetadas mcp-remote versões 0.0.5 through 0.1.15

Description o mcp-remote é um servidor proxy local que permite que clientes MCP interajam com servidores MCP remotos. O software está exposto à injeção de comandos do sistema operacional ao se conectar a servidores MCP não confiáveis. Isso ocorre porque a aplicação falha em neutralizar elementos especiais na URL de resposta do authorization endpoint, permitindo que um invasor remoto injete e execute comandos arbitrários do sistema operacional na máquina hospedeira. No Windows, isso pode levar ao controle total dos parâmetros, enquanto no macOS e Linux, permite a execução de executáveis arbitrários com controle limitado de parâmetros. O pacote teve mais de 437.000 downloads.

Recommendations Atualize o mcp-remote para a versão 0.1.16 ou posterior. Conecte-se apenas a servidores MCP confiáveis usando métodos de conexão seguros, como HTTPS.