adobe-xd-mcp 任意文件读取与写入漏洞 (CWE-22)

Arbitrary File Read and Write Vulnerability in adobe-xd-mcp #3 漏洞概述 漏洞类型: 任意文件读取和写入漏洞 CNA / Submission Type: 报告漏洞（CVE ID 请求） Reporter role: 独立安全研究员 Report date: 2026年7月8日 Reporter name: cocccctt Reporter email: cocccctt@outlook.com Permission to share contact with vendor: 是 Vendor: dekdee Product: adobe-xd-mcp Repository: https://github.com/dekdee/adobe-xd-mcp Affected component(s): - src/index.ts - src/parsers/xd-parser.ts - src/tools/xd-tools.ts Vulnerability Type: - CWE: CWE-22 (Improper Limitation of a Pathname to a Restricted Directory) - Short title: Arbitrary file read/write via MCP XD path arguments Affected Versions: - Confirmed affected: 1.0.0 (7d5c787 confirmed affected) - Suspected affected range: revisions containing the same request-to-sink flows listed below - Fixed version: Not available at time of report Vulnerability Description: - 在 中识别出任意文件读取和写入漏洞。MCP 工具接受攻击者控制的 、 和 参数，并将它们传递给文件系统操作，而没有明显的 workspace 边界检查。攻击者可以调用 MCP 服务器，导致进程读取任意本地 XD 文件路径，并将生成的输出或提取的颜色数据写入攻击者选择的文件系统位置。手动复现在生成此报告之前已确认。提交 已确认受影响，报告时没有可用修复版本。 Technical Root Cause: - - Source: tool schemas for , , and expose caller-controlled , , and arguments. - Sink: - Source: tool argument - Sink: - Source: tool argument - Sinks: , , and Attack Prerequisites: - 攻击者可以调用 MCP 端点或工具处理程序，该处理程序到达易受攻击的 sink。 - 没有有效的运行时策略限制或约束攻击者控制的值在 sink 使用之前。 - 易受攻击的服务器正在运行，并且文件系统或网络访问已选择到所选的有效负载。 Proof of Concept / Reproduction Guidance: - 此概念验证提供了一个简洁的 CVE 风格复现示例，用于报告的问题。 - 1. Reproduction request - 2. Validation - 启动受影响的 MCP 服务器，并通过暴露的 MCP 接口或 提交请求。 - 确认 在预期的 workspace 之外创建。 - 使用 和攻击者选择的 重复，以确认对生成文件的写入控制。 Security Impact: - Confidentiality: High (local files selected through MCP path arguments may be read by the server process). - Integrity: High (attacker-controlled output paths may overwrite or create files outside the intended workspace). - Availability: Low to High depending on the files overwritten. - Scope: Unchanged. CVSS v3.1 Suggestion: - Suggested vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L - Suggested base score: 9.4 (Critical) - Adjust PR upward if the vulnerable tools are strictly admin-only and strongly authenticated. Workarounds / Mitigations: - 将文件路径参数限制为显式 workspace 或允许的基础目录。 - 解析和规范化路径后再使用，然后强制执行最终路径在允许的根目录下。 - 拒绝绝对路径、遍历序列、符号链接，这些会逃逸允许的根目录和意外的文件扩展名。 - 添加身份验证、授权、日志记录和速率限制，以保护敏感的 MCP/HTTP 处理程序。 Recommended Fix: - 消除上述请求到 sink 的数据流。 - 在 MCP/HTTP 边界添加输入模式验证。 - 使用在规范化后强制执行沙箱和符号链接解析的安全路径帮助程序。 - 添加回归测试，证明攻击者控制的值无法到达易受攻击的文件系统 sink。 - 在发布补丁后发布维护者安全公告。 References: - Repository: https://github.com/dekdee/adobe-xd-mcp - Reviewed source files: , , - CWE-22: https://cwe.mitre.org/data/definitions/22.html Credits: - Discoverer: cocccctt - Discovery method: Static analysis (CodeQL) plus repository source-code audit and manual reproduction Additional Notes for Form Mapping: - Audit verdict: Likely exploitable: attacker-controlled MCP path arguments can reach filesystem read/write sinks. - Dynamic exploit replay status: manually reproduced by the reporter before report generation. - Maintainer should validate release mapping before coordinated disclosure.

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

adobe-xd-mcp 任意文件读取与写入漏洞 (CWE-22)

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

adobe-xd-mcp 任意文件读取与写入漏洞 (CWE-22)

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！