PT-2026-64317

CVE-2026-66004

Publicado

2026-07-24

Atualizado

2026-10-15

Descrição por

CVSS 4.0

6.0

Média

MétricasAV:N/AC:H/AT:N/PR:N/UI:P/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas BlenderMCP versões anteriores ao commit 30a3308

Description Um problema de traversal de caminho existe na função download polyhaven asset(). Esta falha permite que atacantes escrevam arquivos arbitrários injetando sequências de traversal em chaves de inclusão de resposta de API. Utilizando ataques de Man-in-the-Middle (MITM) ou injeção de prompt, um atacante pode fornecer caminhos maliciosos, como ../../.bashrc, para sobrescrever arquivos sensíveis e alcançar a execução persistente de código.

Recommendations Atualize o BlenderMCP para o commit 30a3308 ou uma versão posterior. Como mitigação temporária, restrinja o uso da função download polyhaven asset().

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Yu Sun

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-22: Improper Limitation of a Pathname to a Restricted Directory (\'Path Traversal\')

Identificadores relacionados

CVE-2026-66004