CVE-2026-53765

Nome do Software Vulnerável e Versões Afetadas chrome-devtools-mcp (versões afetadas não especificadas)

Descrição Em sistemas POSIX, especificamente em ambientes macOS e sessões Linux onde a variável de ambiente XDG RUNTIME DIR não está definida, o daemon grava seu arquivo PID em um caminho determinístico em /tmp usando a função fs.writeFileSync(). Como essa operação não utiliza a flag O NOFOLLOW, um usuário local de baixos privilégios pode pré-criar o caminho do arquivo PID como um link simbólico apontando para qualquer arquivo que a vítima tenha permissão de escrita. Quando a vítima inicia o daemon, o processo segue o link simbólico e trunca o arquivo de destino, sobrescrevendo seu conteúdo com a string do PID do daemon. Isso pode levar à corrupção de arquivos críticos, como ~/.ssh/authorized keys, arquivos de configuração de shell como ~/.bashrc ou segredos de projetos.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.