关键信息 漏洞概述 漏洞类型: 命令注入 受影响的包: mcp.markdownify_server (npm) 受影响版本: <0.0.1 修复版本: 0.0.2 (发布于2025年9月2日) 漏洞描述 问题: 在 中存在一个命令注入漏洞，攻击者可以通过上传恶意PPTX文件触发。 影响: 攻击者可以利用此漏洞在目标服务器上执行任意系统命令，导致远程代码执行。 漏洞代码 关键代码: PoC (概念验证) 步骤: 1. 下载并解压恶意PPTX文件。 2. 使用 转换文件时，通过构造恶意内容触发命令注入。 3. 观察响应，确认命令成功执行。 影响 严重性: 高 CVSS评分: 7.2/10 修复建议 升级版本: 升级到0.0.2或更高版本。 代码修复: 使用 库替代 ，避免直接执行用户输入的命令。 参考链接 相关CVE GitHub Issue ```