Zuke : contournement de l’autorisation d’exécution dans le registre MCP

Veille sécuritéFrontend

P3Élevée

Avant la version 1.51.0, le mode registre MCP de @zuke/core pouvait accepter des descripteurs de commande sans appliquer la restriction d’autorisation prévue pour les modules distants. Si un registre modifiable par un tiers est utilisé avec `zuke mcp –registry –allow-run`, ce tiers peut faire exécuter des commandes avec l’environnement et les accès de l’opérateur; mettre à jour vers 1.51.0 ou ultérieur et limiter les personnes autorisées à modifier le registre.

IdentifiantCVE-2026-119287

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif1.51.0

Source : NVD — CVE-2026-119287

Analyse technique

Le descripteur de commande pouvait contourner la vérification ZUKE_REGISTRY_LAUNCH_HOSTS. Le registre local par défaut alimenté uniquement par `zuke register` n’est pas concerné selon la description fournie.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-30; cet événement tombe dans la période demandée. La mise à jour NVD du même jour est traitée comme un doublon de cette publication, et non comme une vulnérabilité distincte.

ImpactExécution de commandes choisies par un rédacteur du registre dans le contexte de l’opérateur, avec accès potentiel à son environnement et à son espace de travail.

Versions affectées@zuke/core antérieur à 1.51.0

Version corrigée1.51.0

ContournementDésactiver l’exécution depuis le registre ou en restreindre l’écriture jusqu’à la mise à jour.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.0

Publication2026-10-30T16:17:42.723Z

Mise à jour2026-10-30T17:13:54.187Z

Action recommandée

Mettre à jour @zuke/core vers 1.51.0 ou ultérieur; restreindre l’écriture des registres et désactiver leur exécution si la mise à jour n’est pas possible.

Sources

NVD — CVE-2026-119287

Priorisation DFS : P3 · 1 source(s).