CVE-2026-67546

Nome do Software Vulnerável e Versões Afetadas Heym versões anteriores a 0.0.75

Descrição Existe um problema onde o endpoint 'POST /api/mcp/fetch-tools' aceita o transporte stdio, permitindo que qualquer usuário autenticado com a função mais baixa execute um comando com argumentos arbitrários e um ambiente mesclado ao os.environ. O processo é executado no host de backend compartilhado antes que a validação do protocolo MCP (Model Context Protocol) ocorra, permitindo a execução de comandos independentemente de seguirem o protocolo MCP.

Recomendações Atualizar para a versão 0.0.75.