OS Command Injection in MCPHandler.parse_mcp_command() 漏洞概述 漏洞类型：OS命令注入（OS Command Injection） CVSS评分：9.8 / 10（严重） 影响组件： 包 漏洞位置： 方法中， 参数被直接拼接到 调用中，未进行任何转义或过滤。 攻击方式：攻击者可构造恶意 参数，在任意点注入并执行任意 OS 命令（以进程用户权限运行）。 PoC示例： 可导致系统文件被删除等严重后果。 影响范围 受影响版本： - - 且 修复版本： - 受影响环境：任何部署了受影响版本 包且允许未授权输入传入 参数的系统。 修复方案 官方修复：在版本 中引入命令白名单机制，限制可执行的命令。 临时缓解措施： - 升级至 版本。 - 若无法立即升级，应严格过滤或禁用 参数输入，避免用户可控内容传入。 代码修复示例（来自修复版本）： 其他信息 报告者：xavier288 CVE编号：CVE-2024-34035 发布时间：2024年6月（根据截图“6 days ago”推断） 严重性等级：High（CVSS 9.8） > ⚠️ 注意：此漏洞允许远程代码执行，需立即修复！