p PatchFirst

CVE-2026-119025

CVE-2026-119025 · open 7.2.0 before 11.0.0 OS Command Injection via PowerShell on Windows

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

open 7.2.0 before 11.0.0 contains an OS command injection vulnerability that allows attackers to execute PowerShell code by supplying crafted URLs on Windows and WSL. Attackers can embed $(...) subexpressions in URLs, such as OAuth authorization_endpoint values from malicious MCP servers, which execute when index.js passes them unescaped to powershell -EncodedCommand.

CVSS 7.7 · Высокий · EPSS 1,4% · Публичный эксплойт · Есть исправление

Опубликовано
Обновлено

Затронутые продукты и версии

  • open

    Версии
    • ≥ 7.2.0, < 11.0.0: Затронуто (semver)

    Обновитесь до 11.0.0

  • inspector

    Версии
    • ≥ 2.0.0, < 2.12.0: Затронуто (semver)

    Обновитесь до 2.12.0

  • opencode

    Версии
    • ≥ 1.0.137, < 1.18.33: Затронуто (semver)

    Обновитесь до 1.18.33

Первоисточники

Проверьте свой сервер →