CVE-2026-49988

Nome do Software Vulnerável e Versões Afetadas Repomix versões anteriores a 1.14.1

Descrição O servidor MCP no Repomix contém uma falha onde o fluxo envolvendo as ferramentas attach packed output e read repomix output permite o registro e a leitura de arquivos locais arbitrários com extensões .json, .txt, .md ou .xml. Isso ocorre porque essas ferramentas ignoram a verificação de segurança runSecretLint() e a validação de saída compactada utilizada pela ferramenta file system read file. Um invasor ou um modelo de menor confiança capaz de invocar ferramentas MCP pode usar attach packed output para registrar um arquivo local e, em seguida, chamar read repomix output para recuperar seu conteúdo completo, contornando efetivamente a barreira de varredura de segredos de leitura de arquivos locais. Isso pode levar à exposição de arquivos de texto simples sensíveis, como configurações de projeto ou tokens exportados.

Recomendações Atualize para a versão 1.14.1.