p PatchFirst

CVE-2025-69256

CVE-2025-69256 · serverless MCP Server vulnerable to command injection in list-projects tool

CVSS 7.5 · Высокий · EPSS 2,4% · Есть исправление

Затронуты ли вы?

  • serverlessНет опубликованного исправления
  • serverless npmОбновитесь до 4.29.3

Как узнать установленную версию:

npm ls serverless

Бесплатная проверка покажет рейтинг сервера и подсветит, требует ли внимания serverless и остальные программы. Без регистрации; имена серверов и IP-адреса не отправляются. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить сервер бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

The Serverless Framework is a framework for using AWS Lambda and other managed cloud services to build applications. Starting in version 4.29.0 and prior to version 4.29.3, a command injection vulnerability exists in the Serverless Framework's built-in MCP server package (@serverless/mcp). This vulnerability only affects users of the experimental MCP server feature (serverless mcp), which represents less than 0.1% of Serverless Framework users. The core Serverless Framework CLI and deployment functionality are not affected. The vulnerability is caused by the unsanitized use of input parameters within a call to `child_process.exec`, enabling an attacker to inject arbitrary system commands. Successful exploitation can lead to remote code execution under the server process's privileges. The server constructs and executes shell commands using unvalidated user input directly within command-line strings. This introduces the possibility of shell metacharacter injection (`|`, `>`, `&&`, etc.). Version 4.29.3 fixes the issue.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • serverless

    Версии
    • >= 4.29.0, < 4.29.3: Затронуто

    Нет опубликованного исправления

  • serverless npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 4.29.0, < 4.29.3

    Обновитесь до 4.29.3

Первоисточники

Проверьте свой сервер →