安全研究
安全漏洞
mcp-docs-rag MCP Server操作系统命令注入漏洞（CVE-2026-5007）
发布日期：2026-03-28
更新日期：2026-06-22
受影响系统：mcp-docs-rag MCP Server mcp-docs-rag MCP Server <= 0.5.0
描述：
CVE(CAN) ID:
CVE-2026-5007
mcp-docs-rag MCP Server是Kazuhiro Homma个人开发者的一个基于本地文档的RAG问答服务器。
mcp-docs-rag MCP Server 0.5.0及之前版本存在操作系统命令注入漏洞，该漏洞源于该产品组件add_git_repository/add_text_file中文件src/index.ts的函数cloneRepository存在os命令注入，攻击者可利用该漏洞实现命令执行。
<**>
建议：
厂商补丁：
mcp-docs-rag MCP Server
-----------------------
厂商尚未提供漏洞修复方案，请关注厂商主页更新：
https://github.com/user-attachments/files/25822451/mcp-docs-rag_bug.pdf浏览次数：80
严重程度：0（网友投票）
本安全漏洞由绿盟科技翻译整理，版权所有，未经许可，不得转载
绿盟科技给您安全的保障 |
