CVE-2026-85626
Publiée le 2026-09-04 · Dernière modification le 2026-09-04
Les versions de git-mcp-server jusqu'à la 2.15.1 sont affectées par une faille qui permet à des attaquants d'injecter des arguments de ligne de commande non autorisés dans les outils git. En envoyant des requêtes spécialement conçues, un attaquant distant peut écrire des fichiers à des emplacements arbitraires sur votre serveur, pour lesquels le processus dispose d'autorisations d'accès. Cette attaque peut être exécutée via le réseau sans aucune authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
git-mcp-server 2.15.1 contains an argument injection vulnerability in the ref and object parameters of git_log, git_diff, and git_show tools that lack leading-dash validation. Attackers can inject git command-line options like --output= to write files outside the repository to arbitrary paths accessible by the process.