MCP łata sześć podatności w serwerach filesystem, git i fetch

Projekt Model Context Protocol opublikował wydanie servers v2.4.0 11 listopada 2026 roku, łatając sześć zgłoszeń bezpieczeństwa w swoich oficjalnych serwerach referencyjnych filesystem, git i fetch, w tym krytyczny błąd zdalnego wykonania komend w serwerze git.

Co się zmieniło

• Sześć zgłoszeń bezpieczeństwa opublikowano wraz z wydaniem servers v2.4.0 dnia 11 listopada 2026 roku.
• Najpoważniejszy problem, opisany w advisory GHSA-6hqx-gqrx-c5r2 (CVSS 7.0), pozwalał mcp-server-git wykonywać programy kontrolowane przez atakującego poprzez klucze .git/config, takie jak core.fsmonitor, diff.external i core.hooksPath, nawet gdy agent wywoływał jedynie przeznaczone tylko do odczytu narzędzie git_status.
• Drugie zgłoszenie dotyczące git, GHSA-q74p-4wrc-q7w6 (CVSS 5.3), było poprawką niedokończonej wcześniejszej łatki, zamykającą obejścia ograniczeń object-store i linked-worktree.
• server-filesystem miał dwa błędy wyścigu typu time-of-check-time-of-use z dowiązaniami symbolicznymi: jeden w advisory o wyścigu symlinków w read_text_file (CVSS 4.4) i drugi w move_file (CVSS 5.3), oba umożliwiające dostęp do plików poza skonfigurowanymi dozwolonymi katalogami.
• mcp-server-fetch błędnie klasyfikował przestarzałe zakresy IPv6 site-local fec0::/10 i ::ffff:0:0/96 jako publiczne, co stanowiło lukę SSRF ocenioną na CVSS 3.1.
• mcp-server-fetch miał też obejście robots.txt wywoływane przez nieznormalizowane ścieżki, takie jak //private lub %2e%2e, ocenione na CVSS 3.1.

Dlaczego to ma znaczenie dla twórców AI

Te referencyjne serwery są punktem wyjścia dla wielu agentów kodujących AI i klientów MCP, więc podatność wywoływana przez z założenia tylko do odczytu wywołanie git_status to realne zagrożenie w łańcuchu dostaw dla każdego, kto uruchamia agentowe narzędzia kodujące na niezaufanych repozytoriach.

Łatki i status zgłoszeń

• Łatki: @modelcontextprotocol/server-filesystem 2.3.0, mcp-server-git 2026.11.11 oraz mcp-server-fetch 2026.11.11.
• Żadnemu z sześciu problemów nie przypisano numeru CVE w momencie publikacji; wszystkie są śledzone jedynie jako zgłoszenia GHSA, a poprawki scalono w pull requestach #5514, #5515, #5517 i #5518 w repozytorium modelcontextprotocol/servers.

Źródła

• servers v2.4.0 (Model Context Protocol (GitHub), 11 listopada 2026, oficjalne)
• mcp-server-git arbitrary command execution via git config (GitHub Security Advisories, 11 listopada 2026, oficjalne)
• server-filesystem TOCTOU symlink race in read_text_file (GitHub Security Advisories, 11 listopada 2026, oficjalne)

Tekst przygotowany z pomocą AI wyłącznie na podstawie źródeł wymienionych powyżej. Zanim trafił na stronę, przeszedł automatyczną kontrolę dat, źródeł i wszystkich wersji językowych.