Vulnerabilità ed exploit

La modalità HTTP trasforma Code Runner in una superficie di codice remoto

L’assunzione errata è che Code Runner MCP Server sia un helper locale. Quando viene avviato con --transport http, espone un endpoint JSON-RPC senza autenticazione che consente a un chiamante remoto di eseguire codice arbitrario come utente del server. Questo trasforma un’interfaccia di comodità in una backdoor a livello di processo per tutto ciò che quell’account può raggiungere.

1 fonte · 12 mag

Cronologia

• 12 mag Segnalato da CERT Polska

Fonti

• 12 mag CERT Polska

  Vulnerability in Code Runner MCP Server project

  Missing Authentication for Critical Function vulnerability (CVE-2026-5029) has been found in Code Runner MCP Server software.

  originale

Part of the PlainSec briefing for 2026-05-12

Every edition of this story: La modalità HTTP trasforma Code Runner in una superficie di codice remoto

Altro da oggi

• La violazione del piano di controllo di cPanel minaccia intere flotte di hosting
• Plugin Jenkins backdoored colpisce il trust boundary della CI
• Flaw in dnsmasq spaziano da DNS poisoning a root locale