p PatchFirst

CVE-2025-53372

CVE-2025-53372 · node-code-sandbox-mcp has a Sandbox Escape via Command Injection

CVSS 7.5 · Высокий · EPSS 1,0% · Есть исправление

Затронуты ли вы?

Как узнать установленную версию:

npm ls node-code-sandbox-mcp

Бесплатная проверка покажет рейтинг сервера и подсветит, требует ли внимания node-code-sandbox-mcp и остальные программы. Без регистрации; имена серверов и IP-адреса не отправляются. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить сервер бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

node-code-sandbox-mcp is a Node.js–based Model Context Protocol server that spins up disposable Docker containers to execute arbitrary JavaScript. Prior to 1.3.0, a command injection vulnerability exists in the node-code-sandbox-mcp MCP Server. The vulnerability is caused by the unsanitized use of input parameters within a call to child_process.execSync, enabling an attacker to inject arbitrary system commands. Successful exploitation can lead to remote code execution under the server process's privileges on the host machine, bypassing the sandbox protection of running code inside docker. This vulnerability is fixed in 1.3.0.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • node-code-sandbox-mcp

    Версии
    • < 1.3.0: Затронуто

    Нет опубликованного исправления

  • node-code-sandbox-mcp npm

    Затронутые диапазоны версий
    • SEMVER: < 1.3.0

    Обновитесь до 1.3.0

Первоисточники

Проверьте свой сервер →