Veille sécuritéBackend & données
P3Élevée
Dans mcp-sanitizer avant 1.4.0, le contrôle de chemins autorise des chemins absolus sous /home/ et /Users/, ce qui peut exposer des fichiers sensibles si une application utilise ensuite le chemin pour des opérations de fichiers. Mettre à niveau vers 1.4.0 ; à défaut, ne pas faire confiance à ces chemins sans validation.
Node.js
IdentifiantAvis de sécurité
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.4.0
Source : GHSA-7w82-6f9j-v9jp
Analyse technique
Le validateur accepte certains chemins absolus de répertoires personnels hors des racines sûres configurées.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-28, dans la période retenue.
ImpactDans les applications qui font confiance au chemin assaini et l’utilisent pour lire ou écrire des fichiers, un attaquant réseau non authentifié peut accéder à des fichiers du répertoire personnel.
Versions affectées< 1.4.0
Version corrigée1.4.0
ContournementNe pas utiliser les chemins fournis par l’utilisateur pour des opérations de fichiers sans validation indépendante.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
Publication2026-10-28T19:51:34Z
Mise à jour2026-10-28T19:51:34Z
Action recommandée
Mettre à niveau mcp-sanitizer vers 1.4.0.
Sources
Priorisation DFS : P3 · 1 source(s).