p PatchFirst

CVE-2026-66004

CVE-2026-66004 · BlenderMCP Path Traversal via download_polyhaven_asset API

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

BlenderMCP before commit 30a3308 contains a path traversal vulnerability in the download_polyhaven_asset method that allows attackers to write arbitrary files by injecting traversal sequences in API response include keys. Attackers performing MITM attacks or prompt injection can supply malicious paths like '../../.bashrc' to overwrite sensitive files and achieve persistent code execution.

CVSS 6.0 · Средний · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Стек: python

Затронутые продукты и версии

  • blender-mcp

    Версии
    • ≥ 0, < 30a3308446cd8f81a9446e5a2ed657c0d8d86072: Затронуто (git)

    Нет опубликованного исправления

  • blender-mcp PyPI

    Версии
    • 0.1.0
    • 0.1.1
    • 1.0.0
    • 1.0.2
    • 1.1.0
    • 1.1.1
    • 1.1.2
    • 1.1.3
    • 1.2
    • 1.2.1
    • 1.3.1
    • 1.4.0
    • 1.5.0
    • 1.5.1
    • 1.5.2
    • 1.5.3
    • 1.5.4
    • 1.5.5
    • 1.5.6
    • 1.6.0
    • 1.6.1
    • 1.6.2
    • 1.6.3
    • 1.6.4
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.6.5

    Обновитесь до 1.6.5

Первоисточники

Проверьте свой сервер →