Odkryto poważną lukę w narzędziu OpenCode AI, która pozwalała złośliwym lub przejętym serwerom MCP na wykonanie dowolnego kodu na maszynach deweloperów z systemem Windows lub WSL podczas procesu logowania. Podatność ta została załatana w wersji 1.18.33, jednak brak oficjalnego numeru CVE może utrudniać jej wykrycie przez skanery bezpieczeństwa. Luki wykorzystywała możliwość wstrzyknięcia komendy PowerShell poprzez niepoprawnie obsługiwany adres endpointu autoryzacji.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)