CVE-2026-104634

Nome do Software Vulnerável e Versões Afetadas beam mcp versões 0.1.0 até 0.10.0

Description Um problema de conversão incorreta de tipo existe em BeamMCP.Server, onde argumentos de ferramenta JSON true, false e null são convertidos nas strings "true", "false" e "nil" antes de chegarem à função de despacho do host. Isso ocorre porque normalize arguments/2 passa os argumentos por to json value/1, que converte átomos em strings. Em Elixir, strings são consideradas verdadeiras (truthy), o que significa que um host que verifica um argumento booleano (ex: if args.dry run) executará o ramo verdadeiro mesmo que o cliente tenha enviado false. Isso afeta argumentos de ferramentas e argumentos de prompts/get. O impacto recai principalmente sobre hosts ou camadas de política que diferenciam o comportamento entre true e false ou que utilizam guardas booleanas como confirm: false.

Recommendations Atualize o beam mcp para a versão 0.10.1. Como solução temporária, modifique a função de despacho do host para comparar argumentos booleanos tanto em suas formas booleanas quanto em strings, como args.flag in [true, "true"] e args.flag in [false, "false"], e trate a string "nil" como null onde o esquema permitir.