p PatchFirst

CVE-2026-55157

CVE-2026-55157 · Token Optimizer MCP: OS command injection in smart_user via username in get-user-info

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Token Optimizer MCP measures token savings per AI coding agent, optimizes context, and shares a live local knowledge graph across 16 CLI clients. Prior to version 5.1.0, token-optimizer-mcp is vulnerable to OS command injection in the smart_user tool. Any MCP client that can call the smart_user tool can execute arbitrary shell commands through the username argument of the get-user-info operation. The commands execute with the privileges of the user running the token-optimizer-mcp server. This issue has been patched in version 5.1.0.

CVSS 8.4 · Высокий · EPSS 0,9% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • token-optimizer-mcp

    Версии
    • < 5.1.0: Затронуто

    Нет опубликованного исправления

  • @ooples/token-optimizer-mcp npm

    Затронутые диапазоны версий
    • SEMVER: < 5.1.0

    Обновитесь до 5.1.0

Первоисточники

Проверьте свой сервер →