Неправильное ограничение пути к ограниченному каталогу в инструменте get_resource в Amazon awslabs.aws-transform-mcp-server версий 0.1.0–0.1.4 может позволить контекстно-зависимому субъекту записывать произвольные файлы за пределы предполагаемого рабочего каталога через параметр savePath.
Чтобы устранить эту проблему, пользователям следует выполнить обновление до версии 0.1.5 или более поздней.
Показать оригинальное описание (EN)
Improper limitation of a pathname to a restricted directory in the get_resource tool in Amazon awslabs.aws-transform-mcp-server 0.1.0 through 0.1.4 might allow a context-dependent actor to write arbitrary files outside the intended working directory via the savePath parameter. To remediate this issue, users should upgrade to version 0.1.5 or later.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 2
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Aws Aws-Transform-Mcp-Server
cpe:2.3:a:aws:aws-transform-mcp-server:*:*:*:*:*:*:*:*
|
0.1.0
|
<= 0.1.4
|
|
Amazon Aws_Transform_Mcp_Server
cpe:2.3:a:amazon:aws_transform_mcp_server:*:*:*:*:*:python:*:*
|
0.1.0
|
0.1.5
|