CVE-2026-0756: Injeção de comando em execAsync no github-kanban-mcp-server com execução remota de código
A CVE-2026-0756 é uma falha crítica de injeção de comando no sistema operacional (CWE-78) no github-kanban-mcp-server, divulgada pela ZDI com pontuação CVSS 9.8. Segundo o registro, o parâmetro create_issue não é validado antes de ser usado em uma chamada de sistema, e não é exigida autenticação. O catálogo KEV da CISA não lista esta CVE e as fontes consultadas não mostram exploração confirmada, mas nenhuma versão corrigida consta no registro.
Visão geral
O aviso da ZDI descreve uma falha de injeção de comando no github-kanban-mcp-server, identificada como CVE-2026-0756. O problema está no tratamento do parâmetro create_issue: uma string fornecida pelo usuário é usada para executar uma chamada de sistema sem validação adequada. Segundo o registro, não é exigida autenticação. O aviso está disponível em ZDI-26-022.
Impacto
- A descrição da fonte afirma que atacantes remotos podem executar código arbitrário no contexto da conta de serviço.
- A pontuação CVSS registrada é 9.8 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade, conforme relatado pelas fontes.
- O impacto real depende dos privilégios da conta de serviço, que o registro não especifica.
Produtos e versões afetadas
- Produto: github-kanban-mcp-server.
- Versão listada no registro: 0.3.0.
- Não é possível saber, pelas informações disponíveis, se outras versões são afetadas.
Status de exploração
- O registro indica que esta CVE não consta no catálogo KEV da CISA.
- Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
- Os campos SSVC do registro indicam exploração como 'none' e automatizável como 'yes'. Automatizável significa que a falha poderia ser automatizada, não que tenha sido.
Correção e mitigação
- O registro não lista versão corrigida. Consulte os mantenedores do projeto em busca de atualização ou de alteração que trate o processamento do create_issue.
- Enquanto a correção não for confirmada, restrinja o acesso de rede ao serviço apenas a clientes confiáveis.
- Execute o serviço com uma conta dedicada e de baixo privilégio, com acesso restrito ao sistema de arquivos e à rede.
- Quando for viável, desabilite ou restrinja a funcionalidade create_issue até que a aplicação seja verificada como corrigida.
Orientações de detecção
- Revise os logs do serviço em busca de requisições create_issue de origens inesperadas ou desconhecidas.
- Monitore processos filhos inesperados iniciados pelo processo do serviço.
- Observe conexões de saída inesperadas ou novos arquivos criados pela conta de serviço.
Limitações das informações disponíveis
- O registro não contém aviso do fornecedor, versão corrigida nem detalhes além da descrição da ZDI.
- O status de exploração reflete apenas a listagem no KEV e as fontes consultadas, podendo mudar.
- Os valores de EPSS são reproduzidos conforme registrados e podem mudar com o tempo.
Perguntas frequentes
O que é a CVE-2026-0756?
É uma vulnerabilidade crítica de injeção de comando no sistema operacional (CWE-78) no github-kanban-mcp-server, divulgada pela ZDI. As fontes descrevem execução remota de código no contexto da conta de serviço, sem autenticação.
Esta CVE está sendo explorada ativamente?
O registro indica que ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. Esse status pode mudar.
Qual versão é afetada e existe correção?
O registro lista a versão 0.3.0 como afetada. Nenhuma versão corrigida consta nas fontes, por isso consulte os mantenedores do projeto para verificar atualizações antes de concluir sobre outras versões.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.