CVE-2026-44717criticalCWE-1427CWE-94

CVE-2026-44717: falha crítica em 611711Dark mcp_calculate_server

MCP Calculate Server: Prompt Injection to RCE

Publicada em

Seguir esta CVE+ Monitorar mcp calculate server

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

28Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 9.8epss 0.5%
Em resumo

O servidor MCP Calculate usa uma função insegura (eval) para processar expressões matemáticas sem validação, permitindo que atacantes executem qualquer código no servidor injetando comandos maliciosos disfarçados de problemas matemáticos.

Detalhe técnico

A vulnerabilidade decorre do uso não sanitizado de eval() para avaliar expressões matemáticas fornecidas pelo usuário, possibilitando execução de código arbitrário através de injeção de prompt. Um atacante remoto não autenticado pode criar uma entrada maliciosa que quebra o contexto de avaliação matemática para executar comandos do sistema com privilégios do servidor. Essa combinação de CWE-94 (controle inadequado de geração de código) com CWE-1427 resulta em comprometimento total do sistema.

Resumo gerado e traduzido por IA a partir da descrição oficial.
MCP Calculate Server is a mathematical calculation service based on MCP protocol and SymPy library. Prior to 0.1.1, the use of eval() to evaluate mathematical expressions without proper input sanitization leads to remote code execution. This vulnerability is fixed in 0.1.1.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
611711Dark · mcp_calculate_server