MCP Calculate Server: Prompt Injection to RCE

El servidor MCP Calculate utiliza una función insegura (eval) para procesar expresiones matemáticas sin validación, permitiendo que atacantes ejecuten cualquier código en el servidor inyectando comandos maliciosos disfrazados de problemas matemáticos.

La vulnerabilidad proviene del uso no sanitizado de eval() para evaluar expresiones matemáticas suministradas por el usuario, permitiendo ejecución de código arbitrario mediante inyección de prompt. Un atacante remoto no autenticado puede crear una entrada maliciosa que rompa el contexto de evaluación matemática para ejecutar comandos del sistema con privilegios del servidor. Esta combinación de CWE-94 (control inadecuado de generación de código) con CWE-1427 resulta en compromiso total del sistema.