Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-6942 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-04-23 |
| Producent | radareorg |
| Produkt | radare2-mcp |
| CVSS Score | 9.8 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD
radare2-mcp w wersji 1.6.0 i wcześniejszych zawiera podatność typu OS command injection, która pozwala zdalnym atakującym wykonywać dowolne polecenia poprzez ominięcie filtra poleceń za pomocą metaznaków shell w danych wejściowych kontrolowanych przez użytkownika i przekazywanych do funkcji
r2_cmd_str(). Atakujący mogą wstrzyknąć metaznaki shell poprzez parametry interfejsu jsonrpc, aby uzyskać zdalne wykonanie kodu (RCE) na hoście uruchamiającym radare2-mcp bez wymogu uwierzytelnienia.
Wymagane działania
Niezwłocznie zaktualizuj radare2-mcp do wersji wyższej niż 1.6.0. Do czasu aktualizacji ogranicz dostęp sieciowy do interfejsu jsonrpc wyłącznie do localhost lub zaufanych klientów, wyłącz instancje radare2-mcp wystawione publicznie oraz monitoruj logi pod kątem żądań zawierających metaznaki shell (;, &&, |, backtick).
Kogo dotyczy?
Podatność dotyczy produktu radare2-mcp w wersjach do 1.6.0 włącznie. Sprawdź czy Twoja organizacja używa tego serwera MCP do reverse engineeringu i niezwłocznie zaktualizuj go do wersji zawierającej poprawkę.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
