CVE-2026-2130: Injeção de comando no mcp-maigret via search_username
A CVE-2026-2130 é uma falha de injeção de comando (CWE-77) no mcp-maigret até a versão 1.0.12, no componente search_username, acessível pelo argumento Username. O registro indica que o ataque pode ser lançado remotamente. A NVD classifica como crítica com CVSS 3.1 9.8, enquanto a CNA VulDB apresenta pontuações menores, e a versão 1.0.13 é indicada como mitigação, sem exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-2130 é uma fraqueza de injeção de comando (CWE-77) que afeta o mcp-maigret, de BurtTheCoder, um servidor MCP, nas versões até 1.0.12. Segundo o registro, a falha está em uma parte não especificada do arquivo src/index.ts, no componente search_username, e é acionada pela manipulação do argumento Username.
Impacto
- A injeção de comando pode permitir que um agente malicioso influencie comandos executados pelo componente afetado. As consequências exatas dependem de como o componente é implantado, o que o registro não descreve.
- O registro indica que o ataque pode ser lançado remotamente.
- O vetor CVSS 3.1 da NVD aponta alto impacto na confidencialidade, integridade e disponibilidade.
Produtos e versões afetados
- Produto listado como Burtthecoder Maigret Mcp Server, nas versões até 1.0.12, inclusive.
- A versão 1.0.13 é indicada como mitigação, e o commit de correção referenciado é b1ae073c4b3e789ab8de36dc6ca8111ae9399e7a.
Status de exploração
A vulnerabilidade não consta no catálogo KEV da CISA neste registro, portanto não há exploração ativa confirmada. Nenhuma exploração confirmada aparece nas fontes consultadas. O valor EPSS registrado é probabilidade de 0,02012 com percentil de 0,80376.
Correção e mitigação
- Atualize o mcp-maigret para a versão 1.0.13 ou superior, conforme indicado pela release do projeto e pelo registro.
- Se a atualização imediata não for possível, limite a exposição de rede do serviço e restrinja quem pode acessar a funcionalidade de busca.
- Trate identificadores fornecidos pelo usuário como entrada não confiável e revise como eles são repassados a operações do sistema.
- Execute o componente com os privilégios mínimos necessários.
Orientações de detecção
- Revise os logs da funcionalidade search_username em busca de valores de Username incomuns ou malformados.
- Monitore o serviço por processos filhos inesperados ou atividade de saída originada do processo do servidor MCP.
- Confirme a versão implantada e verifique se ela é superior a 1.0.12.
Limitações das informações disponíveis
O registro não identifica o trecho exato de código vulnerável, as condições necessárias para exploração nem se configurações padrão ficam expostas. As pontuações variam entre provedores: a NVD informa CVSS 3.1 9.8, enquanto a CNA VulDB informa CVSS 4.0 5.3, CVSS 3.1 6.3 e CVSS 2.0 6.5. A data do EPSS no registro deve ser verificada na fonte antes de ser utilizada.
Perguntas frequentes
Quais versões do mcp-maigret são afetadas pela CVE-2026-2130?
O registro lista as versões do mcp-maigret até 1.0.12, inclusive, como afetadas.
Qual é a correção recomendada?
O registro e a referência de release do projeto indicam que a atualização para a versão 1.0.13 mitiga o problema. O commit de correção b1ae073c4b3e789ab8de36dc6ca8111ae9399e7a também é referenciado.
Há exploração ativa conhecida desta vulnerabilidade?
O registro não a lista no KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.