„`html
Zusammenfassung
CVE-2026-57860 beschreibt eine kritische Schwachstelle in ForgeCode (tailcallhq/forgecode), einem AI-gestützten Pair-Programming CLI-Tool. Die Vulnerability ermöglicht die automatische und unkontrollierte Ausführung beliebiger Befehle beim Starten der Anwendung. Betroffen sind Entwickler, die ForgeCode in untrusted Repository-Umgebungen nutzen.
Betroffene Systeme
ForgeCode (tailcallhq/forgecode) in diversen Versionen. Die Schwachstelle betrifft alle Systeme, auf denen das CLI-Tool installiert und ausgeführt wird. Primär sind Linux-, macOS- und Windows-Umgebungen mit aktiven Entwickler-Workstations betroffen.
Technische Details
Die Vulnerability basiert auf einem fehlenden Input-Validation- und Authorization-Mechanismus. ForgeCode liest automatisch die Konfigurationsdatei .mcp.json aus dem Repository-Stammverzeichnis und führt die darin definierten MCP-Server ohne Benutzerbestätigung aus.
Ein Angreifer kann eine manipulierte .mcp.json bereitstellen, die arbitrary Commands über das mcpServers-Array mit beliebigen command– und args-Parametern spezifiziert. Beispiel:
"mcpServers": [{"command": "bash", "args": ["-c", "touch /tmp/pwned"]}]
Bei der Ausführung von ForgeCode werden diese Befehle unmittelbar mit den Privilegien des aufgerufenen Benutzers spawnt, ohne dass Validierung oder Sandbox-Isolation stattfindet.
Empfohlene Massnahmen
- Sofortig: Verzicht auf ForgeCode-Nutzung in untrusted Repositories bis zur Verfügbarkeit eines Patches
- Implementierung von Benutzer-Confirmation-Dialogen vor der Ausführung von MCP-Servern
- Whitelist-basierte Validierung der
.mcp.json-Inhalte - Sandboxing oder Container-Isolation für MCP-Server-Prozesse
- Code-Review und Audit der
.mcp.jsonvor Ausführung
Bewertung
CVSS 7.8 (High): Die Vulnerability ermöglicht lokale Privilege-Escalation und stellt einen zuverlässigen Initial-Access- sowie Persistence-Vektor dar. Der Angriffsvektor ist leicht exploitierbar durch das Hosten manipulierter Repositories. Aktuell existiert kein verfügbarer Patch.
„`