CVE-2026-57860

Nome do Software Vulnerável e Versões Afetadas ForgeCode (versões afetadas não especificadas)

Descrição O ForgeCode, uma CLI de pair-programming com IA, carrega e executa automaticamente servidores Model Context Protocol (MCP) definidos no arquivo .mcp.json de um repositório ao iniciar, sem a confirmação do usuário. Um repositório malicioso pode conter um arquivo .mcp.json manipulado onde as entradas de mcpServers especificam valores arbitrários para command e args. Quando a CLI é executada dentro de um repositório não confiável clonado, esses comandos são iniciados com os privilégios do usuário que a invocou, resultando na execução de código arbitrário. Este problema serve como um mecanismo de acesso inicial e persistência contra desenvolvedores que avaliam repositórios não confiáveis.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.