🟡 CVE-2026-19279: Medium Schwachstelle

„`html

Zusammenfassung

In der MIMICLab mcp-pdf-vision Version 1.1.0 wurde eine lokale Command-Injection-Schwachstelle identifiziert. Die Sicherheitslücke befindet sich in der Funktion load_pdf der Datei src/index.ts und ermöglicht es einem lokalen Angreifer, beliebige Befehle auszuführen. Der Schweregrad wird mit Medium (CVSS 5.3) bewertet. Bislang wurde kein Patch veröffentlicht.

Betroffene Systeme

Die Schwachstelle betrifft:

• MIMICLab mcp-pdf-vision Version 1.1.0 und möglicherweise frühere Versionen
• Systeme mit lokal installierten Instanzen der betroffenen Software
• Umgebungen, in denen Benutzer mit Zugriff auf die Anwendung existieren

Technische Details

Die Anfälligkeit entsteht durch unzureichende Validierung der Parameter pdfPath und sessionId in der load_pdf-Funktion. Ein lokaler Angreifer kann durch Manipulation dieser Argumente Befehle injizieren, die mit den Berechtigungen des Prozesses ausgeführt werden.

Der Angriffsvektor ist lokal beschränkt, was das Risiko mindert. Ein Angreifer benötigt Zugriff auf das betroffene System. Die fehlende Eingabevalidierung ermöglicht es jedoch, die Sandbox-Grenzen zu überwinden.

Empfohlene Massnahmen

• Sofortig: Beschränken Sie den Zugriff auf das System und die Anwendung auf vertrauenswürdige Benutzer
• Kurz: Überprüfen Sie die Logs auf verdächtige Aktivitäten und ungewöhnliche Befehle
• Mittel: Implementieren Sie eine Whitelist für erlaubte PDF-Pfade
• Langfristig: Überwachen Sie die offizielle Projektseite auf Sicherheitspatches und führen Sie diese zeitnah ein
• Erwägen Sie vorübergehend eine Alternative zur mcp-pdf-vision Software

Bewertung

CVSS Score: 5.3 (Medium)

Angriffsvektor: Lokal

Patch-Status: Nicht verfügbar

Das Fehlen eines Patches bei gleichzeitiger fehlender Projektverantwortung erhöht die Gesamtrisikobewertung. Die lokale Beschränkung des Angriffsvektors reduziert jedoch das unmittelbare Risiko für externe Bedrohungen.

„`