Vulnerabilità · 142 giorni fa

La modalità HTTP trasforma Code Runner in una superficie di codice remoto

L’assunzione errata è che Code Runner MCP Server sia un helper locale. Quando viene avviato con --transport http, espone un endpoint JSON-RPC senza autenticazione che consente a un chiamante remoto di eseguire codice arbitrario come utente del server. Questo trasforma un’interfaccia di comodità in una backdoor a livello di processo per tutto ciò che quell’account può raggiungere.

Cronologia

• 12 mag Segnalato da CERT Polska

Fonti

1 fonte che coprono questa storia

• CERT Polska 12 mag

  Vulnerability in Code Runner MCP Server project

  Missing Authentication for Critical Function vulnerability (CVE-2026-5029) has been found in Code Runner MCP Server software.

Entità

• CVE-2026-5029

Part of the PlainSec briefing for 2026-05-12

Editions

• Briefing for 2026-05-12

Storie correlate

• La violazione del piano di controllo di cPanel minaccia intere flotte di hosting
• Plugin Jenkins backdoored colpisce il trust boundary della CI
• Flaw in dnsmasq spaziano da DNS poisoning a root locale